Выявление подозрительного трафика в журналах потоков

Чтение отдельных записей — это основа; настоящая ценность заключается в обнаружении закономерностей во множестве записей, выдающих вредоносную активность. Злоумышленники оставляют сетевые следы, и именно в журналах потоков эти следы становятся видимыми. В этом уроке рассматриваются признаки, которые специалисты по безопасности ищут в данных.

Сканирование портов проявляется, когда один адрес источника за короткий промежуток обращается ко множеству портов назначения на одном узле, обычно с большим количеством действий REJECT. Такая закономерность указывает на разведку: злоумышленник выясняет, какие службы открыты. Подсчёт различных портов назначения для каждого источника — надёжный способ обнаружить такое поведение.

Сетевой перебор представляет собой обратную ситуацию: один источник обращается к одному и тому же порту на множестве IP-адресов назначения в поисках узла с нужной службой. Если один srcaddr обращается ко всей подсети через порт 22 или 445, это классический признак того, что злоумышленник ищет точку опоры для атаки.

Утечка данных проявляется в необычно большом объёме исходящих байтов от внутреннего узла к внешнему адресу, особенно к новому или зарубежному. Если веб-сервер, обычно отправляющий небольшие ответы, внезапно загружает гигабайты данных, это подозрительно. Отслеживание узлов с наибольшим объёмом исходящих байтов помогает быстро заметить такие случаи.

Сопоставление адресов назначения с каналами анализа угроз, содержащими сведения об известных вредоносных IP-адресах, помогает обнаружить связь с серверами управления и контроля. GuardDuty делает это автоматически, но Вы можете воспроизвести такую проверку в запросах Athena, соединив журналы потоков со списком заблокированных IP-адресов для пользовательского обнаружения.

Трафик через необычные для роли рабочей нагрузки порты или протоколы является предупреждающим сигналом. Исходящие соединения через IRC, Tor или порты пулов майнинга криптовалют с сервера, который должен обслуживать только HTTPS, могут указывать на взлом. Если заранее определить нормальное поведение для каждого сегмента, такие отклонения станет легко заметить.

После взлома одного узла злоумышленники перемещаются по сети. Горизонтальное перемещение проявляется во внутренних соединениях, нарушающих обычные закономерности, например когда сервер приложений внезапно начинает открывать сеансы SSH или SMB со множеством других узлов. К трафику между внутренними сегментами, не соответствующему архитектуре, следует отнестись внимательно.

При работе с большими объёмами данных Вы анализируете журналы потоков в Athena, используя данные в S3. SQL позволяет группировать данные по источнику, подсчитывать различные порты, суммировать исходящие байты и фильтровать записи по действию. Несколько хорошо составленных запросов превращают миллиарды записей в короткий список наиболее рискованных потоков — намного быстрее ручной проверки.

Для быстрой реакции отправляйте журналы потоков в журналы CloudWatch и используйте фильтры метрик и оповещения для подозрительных закономерностей либо передавайте данные через фильтр подписки детектору на Lambda. Это превращает поиск угроз постфактум в оповещения почти в реальном времени и сокращает период, в течение которого злоумышленник может действовать до ответных мер.

Не каждая аномалия является атакой. Сканеры ваших собственных средств безопасности, проверки работоспособности и резервное копирование создают безобидные шаблоны. Настройка обнаружения с помощью списков разрешений для известных источников и базовых значений нормального объёма помогает сохранять доверие к оповещениям, чтобы настоящий сигнал не терялся в шуме.

Наиболее эффективный подход сочетает управляемое и настраиваемое обнаружение: разрешите GuardDuty автоматически выявлять известные угрозы по Flow Logs, используйте Athena для глубокого поиска угроз по индивидуальным запросам, а для шаблонов наивысшего приоритета оставьте CloudWatch alarms. Flow Logs — это общая доказательная база, благодаря которой работают все три средства.

Проверьте свои навыки поиска угроз.

Ищите шаблоны: сканирование портов (один источник, множество портов, REJECTs), сканирование хостов (один порт, множество хостов), эксфильтрация (большой объём исходящих данных на новые IP), обращения к известным вредоносным IP и боковое перемещение (необычный трафик между внутренними узлами). Используйте Athena для глубоких запросов, CloudWatch alarms для оповещений в реальном времени и GuardDuty для управляемого обнаружения, отфильтровывая безобидный шум.