Identificando Tráfego Suspeito em Flow Logs

Ler registros individuais é a base; o verdadeiro valor está em identificar padrões em muitos registros que denunciam atividades maliciosas. Os invasores deixam rastros na rede, e é nos Flow Logs que esses rastros aparecem. Esta lição aborda as assinaturas que as equipes de segurança procuram nos dados.

Uma varredura de portas aparece quando um endereço de origem acessa muitas portas de destino em um host durante um intervalo curto, normalmente com muitas ações REJECT. Esse padrão revela reconhecimento, no qual um invasor mapeia quais serviços estão abertos. Contar as portas de destino distintas por origem é uma maneira confiável de identificá-lo.

Uma varredura de rede é o inverso: uma origem contata a mesma porta em muitos IPs de destino, procurando qualquer host que execute um serviço-alvo. Ver um único srcaddr acessar uma sub-rede inteira pela porta 22 ou 445 é um sinal clássico de que um invasor está procurando uma porta de entrada para explorar.

A exfiltração aparece como quantidades excepcionalmente grandes de bytes de saída de um host interno para um endereço externo, especialmente um endereço novo ou estrangeiro. Um servidor web que normalmente fornece respostas pequenas e, de repente, envia gigabytes é suspeito. Acompanhar os maiores comunicadores por bytes de saída ajuda a destacar esses casos.

Comparar endereços de destino com fontes de inteligência de ameaças que contêm IPs maliciosos conhecidos sinaliza comunicações com servidores de comando e controle. O GuardDuty faz isso automaticamente, mas você pode reproduzir o processo em consultas do Athena, associando os Flow Logs a uma lista de bloqueio de IPs para criar detecções personalizadas.

Tráfego em portas ou protocolos incomuns para a função de uma carga de trabalho é um aviso. IRC, Tor ou portas de grupos de mineração de criptomoedas em tráfego de saída de um servidor que deveria oferecer apenas HTTPS sugerem comprometimento. Estabelecer uma referência do comportamento normal de cada camada torna esses desvios evidentes.

Depois de invadir um host, os invasores se deslocam lateralmente. A movimentação lateral aparece como conexões internas que rompem os padrões normais, como um servidor de aplicações que de repente abre sessões SSH ou SMB com muitos pares. O tráfego entre componentes internos que não se encaixa na arquitetura merece análise.

Em grande escala, você analisa Flow Logs no Athena usando dados no S3. O SQL permite agrupar por origem, contar portas distintas, somar bytes de saída e filtrar por ação. Algumas consultas bem elaboradas transformam bilhões de registros em uma lista curta dos fluxos mais arriscados, muito mais rapidamente do que uma análise manual.

Para ganhar velocidade, envie os Flow Logs para o CloudWatch Logs e use filtros de métricas e alarmes em padrões suspeitos, ou transmita-os por um filtro de assinatura para um detector em Lambda. Isso transforma a busca posterior em alertas quase em tempo real, reduzindo a janela do invasor antes que alguém responda.

Nem toda anomalia é um ataque. Scanners das suas próprias ferramentas de segurança, verificações de integridade e backups criam padrões benignos. Ajustar as detecções com listas de permissões para fontes conhecidas e referências para o volume normal mantém os alertas confiáveis, para que o sinal real não se perca no ruído.

A abordagem mais eficaz combina detecção gerenciada e personalizada: permita que o GuardDuty sinalize automaticamente ameaças conhecidas a partir dos Flow Logs, use o Athena para uma busca personalizada aprofundada e mantenha os CloudWatch alarms para os padrões de maior prioridade. Os Flow Logs são a base de evidências compartilhada que faz os três funcionarem.

Teste suas habilidades de busca de ameaças.

Procure padrões: varreduras de portas (uma fonte, muitas portas, REJECTs), varreduras de hosts (uma porta, muitos hosts), exfiltração (grande quantidade de bytes de saída para novos IPs), contato com IPs conhecidos como maliciosos e movimentação lateral (tráfego leste-oeste incomum). Use o Athena para consultas aprofundadas, os CloudWatch alarms para alertas em tempo real e o GuardDuty para detecção gerenciada, eliminando o ruído benigno.