Undersök incidenter med SQL-frågor

När CloudTrail och Flow Logs har katalogiserats blir en utredning en serie SQL-frågor som filtrerar miljarder händelser till de få som är relevanta. Färdigheten ligger i att veta vad ni ska fråga efter: vem gjorde vad, varifrån och när. Den här lektionen går igenom de frågemönster som utredare förlitar sig på.

När ni misstänker att en autentiseringsuppgift har röjts frågar ni efter alla åtgärder som den principalen har utfört. Genom att filtrera CloudTrail på userIdentity.arn eller åtkomstnyckel-ID ser ni varje API-anrop som den gjorde, i rätt ordning. Den här tidslinjen över angriparens åtgärder är ofta det mest värdefulla resultatet av en utredning.

Filtrering på sourceIPAddress visar allt som har gjorts från en viss adress. Om ni har en misstänkt IP-adress från ett GuardDuty-fynd visar detta varje anrop som gjordes från den över flera tjänster. På så sätt kan ni bedöma angreppets omfattning och upptäcka vilka resurser angriparen har berört.

Genom att fråga efter händelser där errorCode är AccessDenied eller UnauthorizedOperation upptäcker ni spaning: en angripare testar vad en stulen autentiseringsuppgift kan göra. En mängd nekade anrop från en principal följda av ett lyckat anrop visar att angriparen har hittat en fungerande behörighet, vilket är en tydlig signal på privilegieeskalering.

Var uppmärksam på känsliga IAM-händelser som CreateUser, AttachUserPolicy, CreateAccessKey eller PutUserPolicy. En angripare försöker ofta skapa beständig åtkomst genom att skapa nya identiteter eller nycklar. Genom att fråga efter dessa händelsenamn upptäcker ni snabbt försök att stärka fotfästet bortom den ursprungliga ingången.

Kraftfulla utredningar slår ihop datakällor: matcha en CloudTrail-principals åtgärder mot VPC Flow Logs från samma instans eller mot ALB-loggar för de begäranden som instansen hanterade. Genom att korrelera kontrollplans- och nätverksaktivitet återskapar ni hela angreppsförloppet i stället för isolerade fragment.

Begränsa alltid frågor till ett tidsintervall med hjälp av händelsens tidsstämpel. Det fokuserar utredningen på den relevanta perioden och minskar, i kombination med partitioner, den genomsökta datamängden och kostnaden avsevärt. Att börja brett i tid och sedan begränsa intervallet är ett naturligt arbetssätt när bilden klarnar.

Aggregeringar synliggör mönster: använd GROUP BY på käll-IP för att hitta de mest aktiva adresserna, räkna distinkta händelsenamn per principal för att bedöma aktivitetens bredd eller summera fel över tid för att hitta en topp. Dessa sammanställningar omvandlar råa rader till trender som leder er mot den verkliga incidenten.

Samma SQL-metod gäller för Flow Logs i S3: hitta stora utgående överföringar, räkna nekade portar per källa eller lista externa IP-adresser som en instans har kontaktat. Genom att kombinera CloudTrail (vad som gjordes via API:t) med Flow Logs (vad som överfördes på nätverket) får ni båda delarna av händelseförloppet.

Spara beprövade utredningsfrågor som namngivna frågor eller vyer så att teamet snabbt kan köra dem igen vid nästa incident. Ett bibliotek med granskade frågor, till exempel "alla åtgärder från en åtkomstnyckel" eller "nekade anrop under den senaste timmen", omvandlar tillfälligt arbete till en repeterbar förmåga att hantera incidenter.

Frågor ger bevis, och bevisen styr insatserna: återkalla nyckeln, isolera instansen eller ta bort den oönskade IAM-användaren. En disciplinerat genomförd frågeprocess – först principal, sedan IP-adress, därefter eskaleringshändelser och slutligen korrelation – ger den säkra och fullständiga förståelse som krävs för att begränsa en incident på rätt sätt.

Utredningar består av SQL-frågor över katalogiserade loggar. Börja med en principal eller käll-IP, leta efter nekade anrop som spaning, var uppmärksam på IAM-händelser som CreateAccessKey vid eskalering och begränsa alltid till ett tidsintervall. Gruppera och räkna för att hitta mönster, korrelera CloudTrail med Flow Logs och spara granskade namngivna frågor så att bevisinsamlingen blir en repeterbar förmåga att hantera incidenter.