Upptäck misstänkt trafik i Flow Logs

Att läsa enskilda poster är grunden; det verkliga värdet ligger i att upptäcka mönster i många poster som avslöjar skadlig aktivitet. Angripare lämnar nätverksspår, och Flow Logs är där dessa spår syns. Den här lektionen behandlar de signaturer som säkerhetsteam letar efter i data.

En portskanning syns som en källadress som under ett kort tidsfönster träffar många destinationsportar på en värd, vanligtvis med många åtgärder av typen REJECT. Mönstret avslöjar rekognosering, där en angripare kartlägger vilka tjänster som är öppna. Att räkna antalet unika destinationsportar per källa är ett tillförlitligt sätt att upptäcka detta.

Exfiltrering visar sig som ovanligt stora utgående byteantal från en intern värd till en extern adress, särskilt en ny eller utländsk adress. En webbserver som normalt skickar små svar men plötsligt laddar upp gigabyte är misstänkt. Genom att följa de största kommunicerande värdarna efter utgående byte blir sådana fall lättare att upptäcka.

Genom att jämföra destinationsadresser med hotinformationskällor över kända skadliga IP-adresser kan du upptäcka kommunikation med kommando- och kontrollservrar. GuardDuty gör detta automatiskt, men du kan återskapa det i Athena-frågor genom att koppla Flow Logs till en IP-blocklista för anpassad identifiering.

Trafik på ovanliga portar eller protokoll för en arbetsbelastnings roll är en varningssignal. Utgående IRC-, Tor- eller portar för kryptovalutautvinningspooler från en server som endast ska tillhandahålla HTTPS tyder på ett intrång. Om du fastställer vad som är normalt för varje skikt blir dessa avvikelser uppenbara.

Efter att ha tagit sig in på en värd förflyttar sig angripare i sidled. Lateral förflyttning syns som interna till interna anslutningar som bryter mot normala mönster, till exempel när en applikationsserver plötsligt öppnar SSH- eller SMB-sessioner till många andra värdar. Öst-väst-trafik som inte passar arkitekturen bör granskas.

I stor skala analyserar du Flow Logs i Athena över data i S3. Med SQL kan du gruppera efter källa, räkna unika portar, summera utgående byte och filtrera efter åtgärd. Några välformulerade frågor omvandlar miljarder poster till en kort lista över de mest riskfyllda flödena, betydligt snabbare än manuell granskning.

För snabbhet kan du skicka Flow Logs till CloudWatch Logs och använda måttfilter och larm för misstänkta mönster, eller strömma dem via ett prenumerationsfilter till en Lambda-detektor. Då omvandlas jakt i efterhand till aviseringar nära realtid, vilket minskar angriparens tidsfönster innan någon reagerar.

Alla avvikelser är inte angrepp. Skannrar i era egna säkerhetsverktyg, hälsokontroller och säkerhetskopieringar skapar godartade mönster. Genom att finjustera identifieringen med tillåtelselistor för kända källor och baslinjer för normal volym förblir aviseringarna tillförlitliga, så att den verkliga signalen inte försvinner i bruset.

Det starkaste tillvägagångssättet kombinerar hanterad och anpassad identifiering: låt GuardDuty automatiskt flagga kända hot från Flow Logs, använd Athena för djupgående anpassad sökning och behåll CloudWatch alarms för era mönster med högst prioritet. Flow Logs är den gemensamma evidensbasen som får alla tre att fungera.

Leta efter mönster: portskanningar (en källa, många portar, REJECTs), svep (en port, många värdar), exfiltrering (många utgående byte till nya IP-adresser), kontakt med känd skadlig IP-adress och lateral förflyttning (ovanlig trafik mellan interna system). Använd Athena för djupgående frågor, CloudWatch alarms för aviseringar i realtid och GuardDuty för hanterad identifiering, samtidigt som ni filtrerar bort godartat brus.