Güvenlik Olayları için Metrik Filtreleri

Ham günlükler zengin bilgiler içerir, ancak edilgendir. Bir ölçüm filtresi, günlük grubuna gelen olayları tarar, tanımladığınız bir örüntüyle eşleştirir ve her eşleşmeyi CloudWatch ölçümünde sayısal bir veri noktasına dönüştürür. Bu, metin günlükleriyle ölçüm dünyası arasında köprü kurar; burada eğilimleri grafik üzerinde gösterebilir ve en önemlisi alarmları tetikleyebilirsiniz.

Güvenlik sinyalleri çoğu zaman sıradan günlüklerin içinde gizlidir: başarısız bir oturum açma, yetkisiz bir API çağrısı veya MFA olmadan gerçekleştirilen bir konsol oturumu. Bir ölçüm filtresi tam olarak bu satırları ayıklar ve sayar. Bir güvenlik olayı ölçüme dönüştüğünde, insanların gözden kaçırmamasını ummak yerine otomatik olarak izleyebileceğiniz ve uyarı üretebileceğiniz bir unsura dönüşür.

filtre örüntüsü, neyin eşleştirileceğini tanımlar. Düz metin için basit terimler kullanılabilir; JSON günlükleri içinse { $.errorCode = "AccessDenied*" } gibi belirli alanlarla eşleşme yapılabilir. CloudTrail olayları CloudWatch'a JSON olarak iletildiğinden, JSON filtre örüntüleri belirli olay adlarını ve hata kodlarını hedeflemenizi sağlar.

Bir günlük olayı eşleştiğinde filtre, adını verdiğiniz bir ölçüme ve bir ölçüm ad alanına bir değer gönderir. Genellikle her eşleşme ölçümü bir artırır; ancak günlükteki sayısal bir alanı da yayımlayabilirsiniz. Ayrıca varsayılan bir değer belirlersiniz. Böylece hiçbir olay eşleşmediğinde ölçüm sıfır bildirir ve alarmların sağlıklı çalışması sağlanır.

AWS, CIS tarzı izleme için önerilen filtreler yayımlar: yetkisiz API çağrıları, MFA olmadan oturum açma, kök hesap kullanımı, IAM politikası değişiklikleri, güvenlik grubu değişiklikleri ve CloudTrail yapılandırma değişiklikleri. Bunlar doğrudan yüksek değerli tespit noktalarına karşılık gelir. Bu kümenin oluşturulması, bir hesaptaki en riskli kontrol düzlemi işlemlerini geniş kapsamlı biçimde izlemenizi sağlar.

Klasik bir filtre, errorCode değerinin AccessDenied veya UnauthorizedOperation olduğu olaylarla eşleşir. Bu olaylarda ani bir artış görülmesi, saldırganın ele geçirilmiş bir kimlik bilgisinin neler yapabileceğini araştırdığı anlamına gelebilir. Bunları ölçüm olarak saymak, oran bir eşiği aştığında alarm üretmenizi ve keşif faaliyetlerini erken yakalamanızı sağlar.

Güvenlik gruplarında, ağ ACL'lerinde veya yönlendirme tablolarında yapılan değişiklikler, saldırgan için sessizce bir yol açabilir. AuthorizeSecurityGroupIngress veya CreateRoute gibi olay adlarına uygulanan bir ölçüm filtresi bunları görünür kılar. Meşru değişiklikler de gerçekleşebileceğinden alarm, kesinlikle bir sorun olduğunu değil, değişikliğin onaylanmış bir istekle eşleştiğini doğrulamanız gerektiğini bildirir.

CloudWatch Logs Insights, elle çalıştırdığınız anlık ve olay sonrasına yönelik sorgular içindir. Ölçüm filtreleri ise süreklidir ve proaktiftir: her olayı gelir gelmez değerlendirir ve alarmlara veri sağlar. Keşfetmek için Insights'ı, tespit etmek için ölçüm filtrelerini kullanın. Sınavda genellikle tepkisel inceleme ile proaktif uyarı arasındaki karşılaştırma yapılır.

Filtreler yalnızca oluşturulduktan sonraki yeni olaylara uygulanır; eski günlükleri geriye dönük olarak taramaz. Ayrıca günlük grubu başına ölçüm filtresi sayısı için bir sınır vardır. Tespit kümenizi önceden planlayın ve geçmiş analizlerinin hâlâ arşivlenmiş veriler üzerinde Insights'a veya Athena'ya ait olduğunu unutmayın.

Tek başına bir ölçüm filtresi yalnızca sayım yapar. Değeri, ölçümü izleyen ve eşik aşıldığında SNS aracılığıyla size bildirim gönderen bir CloudWatch alarmı eklediğinizde ortaya çıkar. Ölçüm filtresi, alarm ve SNS birlikte kullanıldığında şüpheli bir günlük satırını güvenlik ekibinize gönderilen gerçek zamanlı bir uyarıya dönüştüren standart yapı elde edilir.

Filtrelerinizi en önemli işlemlere göre tasarlayın: kimlik değişiklikleri, reddedilen çağrılar, ağ düzenlemeleri ve kök hesap etkinliği. Normal gürültünün kimseye uyarı göndermemesi için her biri için makul bir eşik belirleyin ve uyarıları ekibinizin gerçekten izlediği bir kanala yönlendirin. İyi ayarlanmış ölçüm filtreleri, tespit ile bir ihlali aylar sonra keşfetmek arasındaki farkı oluşturur.

Ölçüm filtreleri konusundaki anlayışınızı kontrol edin.

Bir ölçüm filtresi, gelen günlük olaylarını bir filtre örüntüsüyle eşleştirir ve eşleşmeleri bir CloudWatch ölçümüne dönüştürür. JSON örüntüleri errorCode ve eventName gibi CloudTrail alanlarını hedefler. Yetkisiz çağrıları, MFA olmadan yapılan oturum açmaları, kök hesap kullanımını ve ağ değişikliklerini kapsayın. Filtreler yalnızca yeni olaylar üzerinde çalışır; bir alarma ve gerçek zamanlı tespit için SNS'ye bağlandıklarında en etkili hâle gelir.