Фильтры метрик для событий безопасности

Необработанные журналы содержат много информации, но сами по себе пассивны. Фильтр показателей просматривает поступающие события в группе журналов, находит заданный Вами шаблон и превращает каждое совпадение в числовую точку данных в показателе CloudWatch. Это связывает текстовые журналы с миром показателей, где можно строить графики тенденций и, что особенно важно, запускать сигналы тревоги.

Сигналы безопасности часто скрыты среди обычных записей журналов: неудачный вход, несанкционированный вызов API, вход в консоль без MFA. Фильтр показателей извлекает именно эти строки и подсчитывает их. Когда событие безопасности становится показателем, его можно автоматически отслеживать и использовать для оповещения, вместо того чтобы надеяться, что человек заметит его среди прокручиваемых записей.

Шаблон фильтра определяет, что нужно найти. Для обычного текста это могут быть простые термины, а для журналов JSON — конкретные поля, например { $.errorCode = "AccessDenied*" }. События CloudTrail, передаваемые в CloudWatch, имеют формат JSON, поэтому шаблоны фильтрации JSON позволяют выбирать точные имена событий и коды ошибок.

Когда событие журнала соответствует шаблону, фильтр передаёт значение в указанный Вами показатель, помещая его в пространство имён показателей. Обычно каждое совпадение увеличивает показатель на единицу, но можно также публиковать числовое поле из журнала. Кроме того, задаётся значение по умолчанию, чтобы при отсутствии совпадений показатель сообщал ноль, поддерживая корректную работу сигналов тревоги.

AWS публикует рекомендуемые фильтры для мониторинга в стиле CIS: несанкционированные вызовы API, вход без MFA, использование корневой учётной записи, изменения политик IAM, изменения групп безопасности и конфигурации CloudTrail. Они напрямую соответствуют важным точкам обнаружения. Создание такого набора обеспечивает широкое покрытие наиболее рискованных действий плоскости управления в аккаунте.

Классический фильтр находит события, в которых errorCode имеет значение AccessDenied или UnauthorizedOperation. Резкий всплеск таких событий часто означает, что злоумышленник проверяет возможности украденных учётных данных. Подсчёт этих событий как показателя позволяет подать сигнал тревоги при превышении порога и рано обнаружить разведку.

Изменения групп безопасности, сетевых ACL или таблиц маршрутизации могут незаметно открыть злоумышленнику путь. Фильтр показателей по таким именам событий, как AuthorizeSecurityGroupIngress или CreateRoute, помогает выявить их. Поскольку легитимные изменения тоже происходят, сигнал тревоги означает, что нужно проверить соответствие изменения утверждённому запросу, а не то, что проблема точно существует.

CloudWatch Logs Insights предназначен для разовых запросов, которые Вы выполняете вручную уже после события. Фильтры показателей работают непрерывно и проактивно: они оценивают каждое поступающее событие и передают данные сигналам тревоги. Используйте Insights для изучения, а фильтры показателей — для обнаружения. На экзамене часто противопоставляют реактивное расследование проактивному оповещению.

Фильтры применяются только к новым событиям, поступившим после создания фильтра; старые журналы они задним числом не просматривают. Кроме того, существует ограничение на количество фильтров показателей в одной группе журналов. Заранее планируйте набор средств обнаружения и помните, что исторический анализ выполняется через Insights или Athena по архивным данным.

Сам по себе фильтр показателей только ведёт подсчёт. Он раскрывает свою ценность, когда Вы подключаете сигнал тревоги CloudWatch, отслеживающий показатель и уведомляющий Вас через SNS при превышении порога. Фильтр показателей вместе с сигналом тревоги и SNS — стандартный способ превратить подозрительную строку журнала в уведомление о событии в реальном времени для команды безопасности.

Проектируйте фильтры вокруг наиболее важных действий: изменений идентификационных данных, отклонённых вызовов, сетевых правок и активности корневой учётной записи. Для каждого задайте разумный порог, чтобы обычный шум не вызывал оповещения, и направляйте уведомления в канал, который команда действительно отслеживает. Хорошо настроенные фильтры показателей определяют разницу между своевременным обнаружением и выявлением утечки через несколько месяцев.

Проверьте, как Вы понимаете работу фильтров показателей.

Фильтр показателей сопоставляет шаблон фильтра с поступающими событиями журналов и преобразует совпадения в показатель CloudWatch. Шаблоны JSON выбирают поля CloudTrail, такие как errorCode и eventName. Охватите несанкционированные вызовы, входы без MFA, использование корневой учётной записи и сетевые изменения. Фильтры работают только с новыми событиями, а наибольшую пользу приносят в связке с сигналом тревоги и SNS для обнаружения в реальном времени.