Расследование инцидентов с помощью запросов SQL

Когда CloudTrail и журналы потоков каталогизированы, расследование превращается в серию запросов SQL, которые сокращают миллиарды событий до нескольких действительно важных. Главное — понимать, что спрашивать: кто, что, откуда и когда сделал. В этом уроке рассматриваются шаблоны запросов, на которые опираются специалисты по расследованиям.

Если есть подозрение, что учётные данные скомпрометированы, запросите все действия этого субъекта. Фильтрация CloudTrail по userIdentity.arn или ID ключа доступа покажет все выполненные им вызовы API в хронологическом порядке. Такая временная шкала действий злоумышленника часто является самым ценным результатом расследования.

Фильтрация по sourceIPAddress показывает всё, что было сделано с указанного адреса. Если в результате GuardDuty Вы получили один подозрительный IP-адрес, этот запрос покажет все выполненные с него вызовы в разных сервисах, поможет определить масштаб воздействия и выявить затронутые злоумышленником ресурсы.

Запрос событий, в которых errorCode имеет значение AccessDenied или UnauthorizedOperation, выявляет разведку: злоумышленник проверяет, что могут сделать украденные учётные данные. Всплеск отказов от одного субъекта, за которым следует успешный вызов, показывает, что злоумышленник нашёл работающее разрешение, — это явный сигнал повышения привилегий.

Следите за чувствительными событиями IAM, такими как CreateUser, AttachUserPolicy, CreateAccessKey или PutUserPolicy. Злоумышленник часто пытается закрепиться, создавая новые удостоверения или ключи. Запрос таких имён событий быстро выявляет попытки укрепить присутствие после первоначального проникновения.

Эффективные расследования объединяют источники данных: сопоставляют действия субъекта CloudTrail с журналами потоков VPC для того же экземпляра или с журналами ALB для обслуженных им запросов. Сопоставление активности плоскости управления и сетевой активности позволяет восстановить полную картину атаки, а не отдельные разрозненные фрагменты.

Всегда ограничивайте запросы временным интервалом с помощью временной метки события. Это сосредоточит расследование на нужном периоде и в сочетании с секционированием значительно сократит объём сканируемых данных и расходы. Естественный порядок работы — сначала задать широкий период, а затем сужать его по мере прояснения картины.

Агрегирование помогает выявлять закономерности: используйте GROUP BY для группировки по исходному IP-адресу и поиска самых активных источников, подсчитайте число различных имён событий для каждого субъекта, чтобы оценить широту активности, или подсчитайте ошибки за определённый период, чтобы обнаружить всплеск. Эти сводные данные превращают необработанные строки в тенденции, указывающие на настоящее происшествие.

Тот же подход SQL применяется к журналам потоков в S3: можно находить большие исходящие передачи, подсчитывать отклонённые порты для каждого источника или составлять список внешних IP-адресов, с которыми связывался экземпляр. Сочетание CloudTrail (что было сделано через API) и журналов потоков (что передавалось по сети) даёт обе части общей картины.

Сохраняйте проверенные запросы расследования как именованные запросы или представления, чтобы команда могла быстро повторно выполнить их во время следующего инцидента. Библиотека проверенных запросов, например «все действия ключа доступа» или «отклонённые вызовы за последний час», превращает разовую работу в воспроизводимую возможность реагирования.

Запросы дают доказательства, а доказательства определяют действия реагирования: отозвать ключ, изолировать экземпляр, удалить постороннего пользователя IAM. Дисциплинированный процесс — сначала субъект, затем IP-адрес, потом события повышения привилегий и, наконец, сопоставление — даёт полное и уверенное понимание, необходимое для правильной локализации инцидента.

Проверьте свои навыки составления запросов для расследований.

Расследования представляют собой запросы SQL к каталогизированным журналам. Начните с субъекта или исходного IP-адреса, ищите отклонённые вызовы для обнаружения разведки, отслеживайте события IAM, например CreateAccessKey, для выявления повышения привилегий, и ограничивайте всё по времени. Выполняйте группировку и подсчёт для поиска закономерностей, сопоставляйте CloudTrail с журналами потоков и сохраняйте проверенные именованные запросы, чтобы сбор доказательств стал воспроизводимой возможностью реагирования.