Anormal Etkinlik Örüntülerini Belirleme

İncelemenin amacı, güvenlik ihlaline işaret eden örüntüleri tanımaktır. Detective bunları görünür kılar, ancak neye benzediğini sizin bilmeniz gerekir. Bu derste, bir AWS ortamında çoğunlukla bir saldırganın etkin olduğunu gösteren anormal örüntüler ele alınır.

Normalde sessiz olan bir varlıktan gelen API çağrılarında ani artış, klasik bir tehlike işaretidir. Saldırganlar kaynakları sıralar ve kısa sürede çok sayıda çağrı yapar. Detective'in temel davranış karşılaştırması, bu artışları varlığın normal ritmine göre belirgin hale getirir.

Bir varlık için daha önce hiç görülmemiş bir ülkeden veya IP'den gelen etkinlik, çoğu zaman çalınmış kimlik bilgilerine işaret eder. Yalnızca kurumsal Bölgenizden kullanılan bir rolün aniden başka bir kıtadan işlem yapması, özellikle olağandışı eylemlerle birlikte görüldüğünde son derece şüphelidir.

Hacmin yanı sıra eylem türlerine de dikkat edin. Normalde yalnızca veri okuyan bir kimliğin aniden kullanıcı oluşturması, ilkeler eklemesi veya günlükleri silmesi, ayrıcalıkların kötüye kullanıldığını gösterir. Yeni ve hassas eylemler, yalnızca çağrı sayısından daha güçlü kanıtlardır.

Saldırının ilk aşamaları keşif olarak görünür: saldırgan ortamınızı haritalarken çok sayıda açıklama ve listeleme çağrısı yapar, bağlantı noktalarını yoklar veya başarısız erişim girişimlerinde bulunur. Keşfi saldırgan harekete geçmeden önce fark etmek, hızlıca sınırlama yapma şansınızı artırır.

Bir varlığın, imkânsız derecede kısa bir süre içinde birbirinden uzak iki konumdan etkin olması, yani imkânsız seyahat, kimlik bilgisinin birden fazla tarafça kullanıldığını gösterir. Bu örüntü, bir gizli bilginin sızdığının ve kötüye kullanıldığının neredeyse kesin işaretidir.

Güvenilirliği yüksek bir gösterge, bir aktörün güvenliği kapatmasıdır: GuardDuty'yi devre dışı bırakmak, CloudTrail'i durdurmak, günlükleri silmek veya yapılandırma kurallarını değiştirmek. Meşru kullanıcılar bunu nadiren yapar. Detective ve GuardDuty, savunmalarınızı kör etmeye yönelik girişimleri de işaretler.

Özellikle tanımadığınız hedeflere yapılan büyük veya olağandışı giden veri aktarımları, verilerin dışarı çıkarıldığını düşündürür. Grafikte bu durum, ağ hacmindeki artışlar veya yeni dış IP'lere bağlantılar olarak görünür. Bunu güvenliği ihlal edilmiş bir varlıkla ilişkilendirmek, hırsızlığı doğrular.

Tek bir anormallik zararsız olabilir; ancak birkaç anormallik birlikte nadiren zararsızdır. Yeni bir konum, çağrı artışı ve günlükleri devre dışı bırakma eylemi birlikte, güvenlik ihlalini güçlü ve ilişkili biçimde ortaya koyar. Detective'in grafiği, bu sinyalleri birbirine bağlayarak güvenilir bir sonuca ulaşmanızı sağlar.

Tehlikeli bir örüntü yatay harekettir: bir kaynağı ele geçiren saldırganın bunu diğer kaynaklara ulaşmak için kullanması ve bulut sunucuları, roller hatta hesaplar arasında ilerlemesi. Davranış grafiğinde bu, ilk kurbandan dışarı doğru yayılan yeni bağlantılar zinciri olarak görünür. Yatay hareketi erken fark etmek kritik önem taşır; çünkü saldırının sınırlı kalmadığını, genişlediğini gösterir.

Her anormallik bir saldırı değildir. Yeni bir dağıtım, yer değiştiren bir çalışan veya yeni bir otomasyon işi başlangıçta olağandışı görünebilir. Buradaki yaklaşım, harekete geçmeden önce sinyalleri ilişkilendirip bağlamı kontrol etmektir: Etkinlik bilinen bir değişiklikle uyumlu mu ve birden çok gösterge aynı sonuca mı işaret ediyor? Tepki vermek yerine inceleme yapmak, boşa harcanan çabayı ve gereksiz kesintiyi önler.

Bir güvenlik ihlali örüntüsünü belirleyin.

Güvenlik ihlaline işaret eden anormal örüntüler arasında API çağrısı artışları, yeni coğrafi konumlardan gelen etkinlik, olağandışı veya hassas API eylemleri, keşif, imkânsız seyahat, güvenlik denetimlerini devre dışı bırakma girişimleri ve veri dışarı aktarma artışları bulunur. Tek bir anormallik zararsız olabilir; ancak birkaçını birlikte ilişkilendirmek, sınırlama işlemini yönlendiren güvenilir bir sonuca ulaşmanızı sağlar.