Выявление аномальных моделей активности

Результат расследования — распознавание закономерностей, указывающих на компрометацию. Сервис расследований помогает выявить их, но Вы должны понимать, как они выглядят. В этом уроке рассматриваются аномальные закономерности, которые чаще всего означают присутствие злоумышленника в среде AWS.

Внезапный всплеск вызовов API от сущности, обычно не проявляющей активности, — классический тревожный сигнал. Злоумышленники перечисляют ресурсы и быстро выполняют множество вызовов. Сравнение с базовым уровнем в сервисе расследований делает такие всплески очевидными на фоне обычного ритма сущности.

Активность из страны или с IP-адреса, ранее не наблюдавшихся для сущности, часто означает использование украденных учётных данных. Если роль, применявшаяся только из корпоративного региона, внезапно начинает действовать с другого континента, это крайне подозрительно, особенно в сочетании с необычными действиями.

Следите не только за объёмом, но и за типами действий. Если идентификатор, который обычно только читает данные, внезапно начинает создавать пользователей, прикреплять политики или удалять журналы, это указывает на злоупотребление привилегиями. Новые чувствительные действия — более весомое доказательство, чем одно лишь количество вызовов.

Ранние этапы атаки проявляются как разведка: множество вызовов описания и перечисления, проверка портов или неудачные попытки доступа, пока злоумышленник изучает Вашу среду. Раннее обнаружение разведки, до действий злоумышленника, даёт наилучшие шансы быстро сдержать атаку.

Если сущность активна из двух удалённых мест за невозможное короткое время, это невозможное перемещение указывает, что учётные данные используются более чем одной стороной. Такая закономерность почти наверняка означает, что секрет утёк и используется злоумышленниками.

Надёжный индикатор угрозы — когда участник отключает защиту: отключает GuardDuty, останавливает CloudTrail, удаляет журналы или изменяет правила конфигурации. Легитимные пользователи редко делают это. Сервис расследований и GuardDuty отмечают попытки ослепить Вашу защиту.

Крупные или необычные исходящие передачи данных, особенно в незнакомые места назначения, указывают на эксфильтрацию. На графе это выглядит как всплески сетевого объёма или подключения к новым внешним IP-адресам. Сопоставление этой активности со скомпрометированной сущностью подтверждает кражу.

Одна аномалия может быть безвредной, но несколько аномалий вместе редко бывают случайностью. Новое местоположение, всплеск вызовов и отключение журналирования образуют убедительную связанную картину компрометации. Граф сервиса расследований особенно полезен тем, что позволяет связать эти сигналы и прийти к уверенному выводу.

Опасная закономерность — боковое перемещение: злоумышленник компрометирует один ресурс и использует его для доступа к другим, переходя между экземплярами, ролями и даже аккаунтами. На графе поведения это выглядит как цепочка новых связей, распространяющихся от первой жертвы. Раннее обнаружение бокового перемещения критически важно, поскольку показывает, что атака расширяется, а не остановлена.

Не каждая аномалия является атакой. Новое развертывание, переезд сотрудника или недавно созданная задача автоматизации поначалу могут выглядеть необычно. Важно сопоставлять сигналы и проверять контекст перед действием: соответствует ли активность известному изменению и согласуются ли между собой несколько индикаторов? Расследование вместо поспешной реакции предотвращает напрасные усилия и ненужные сбои.

Определите закономерность компрометации.

К аномальным закономерностям, указывающим на компрометацию, относятся всплески вызовов API, активность из новых географических мест, необычные или чувствительные действия API, разведка, невозможное перемещение, попытки отключить средства защиты и всплески эксфильтрации данных. Одна аномалия может быть безвредной, но сопоставление нескольких аномалий даёт уверенный вывод, на основе которого можно сдержать атаку.