发现异常活动模式

调查的价值在于识别表明已遭入侵的模式。侦测调查服务会呈现这些模式，但您必须了解它们的表现形式。本课将介绍在 AWS 环境中最常表明攻击者正在活动的异常模式。

某个通常很少活动的实体突然出现API 调用峰值，这是典型的危险信号。攻击者会枚举资源，并在短时间内执行大量调用。侦测调查服务通过基线比较，可以清楚地显示这些峰值与实体正常活动节奏之间的差异。

实体突然从以前从未出现过的国家或 IP发起活动，通常意味着凭证已被盗用。某个角色原本只在您的企业区域使用，却突然从另一个大洲开展活动，这非常可疑，尤其是同时伴有异常操作时。

除了调用量，还要关注操作类型。某个身份通常只读取数据，却突然开始创建用户、附加策略或删除日志，这表明可能发生了权限滥用。新的敏感操作比单纯的调用次数更能提供有力证据。

攻击早期阶段会表现为侦察：攻击者通过大量描述和列表调用、端口探测或失败的访问尝试来绘制您的环境。及早发现侦察活动，在攻击者采取行动之前进行处理，可以最大限度地提高快速遏制的机会。

如果某个实体在极短且不可能的时间内从两个相距遥远的位置活动，即出现不可能的旅行，这表明该凭证正被多个主体使用。这种模式几乎可以确定某个机密已经泄露并遭到滥用。

高可信度的指标之一是行为主体关闭安全功能：停用 GuardDuty、停止 CloudTrail、删除日志或更改配置规则。合法用户很少会这样做。侦测调查服务和 GuardDuty 都会标记试图使您的防御措施失效的行为。

大量或异常的出站数据传输，尤其是传输到陌生目标的数据，可能表明正在发生数据外泄。在图表中，这通常表现为网络流量峰值或与新的外部 IP 建立连接。将这些活动与遭入侵的实体关联起来，就能确认数据窃取行为。

单个异常可能是无害的，但多个异常同时出现时通常不是。一处新位置、调用峰值以及停用日志这几个信号组合在一起，就构成了入侵的有力关联证据。侦测调查服务的图表非常适合帮助您连接这些信号，得出有把握的结论。

一种危险模式是横向移动：攻击者入侵某个资源后，利用它访问其他资源，在实例、角色甚至账户之间跳转。在行为图表中，这会表现为从第一个受害者向外扩散的一连串新连接。及早发现横向移动至关重要，因为这表明攻击正在扩大，而不是已经受到控制。

并非每个异常都是攻击。新的部署、员工搬迁或新建的自动化任务，起初都可能表现得异常。处理时应遵循的原则是：采取行动前先关联信号并检查上下文：这些活动是否与已知变更一致？多个指标是否相互印证？通过调查而不是仓促反应，可以避免浪费精力和造成不必要的中断。

识别入侵模式。

表明已遭入侵的异常模式包括API 调用峰值、来自新地理位置的活动、异常或敏感的API 操作、侦察、不可能的旅行、试图停用安全控制措施以及数据外泄峰值。单个异常可能是无害的，但将多个异常关联起来，就能得出有把握的结论，并据此进行遏制。