发现流日志中的可疑流量

读取单条记录是基础；真正的价值在于发现多条记录中的模式，从而识别恶意活动。攻击者会在网络中留下足迹，而流日志正是这些足迹出现的地方。本课将介绍安全团队在数据中寻找的各种特征。

端口扫描表现为：在很短的时间内，一个源地址向某台主机的多个目标端口发起连接，通常伴随大量 REJECT 操作。这种模式揭示了攻击者正在进行侦察，以了解哪些服务处于开放状态。统计每个源地址对应的不同目标端口数量，是发现此类行为的可靠方法。

网络扫掠则相反：一个源地址在许多目标 IP 上连接同一个端口，以寻找运行目标服务的主机。如果看到一个 srcaddr 在整个子网上访问端口 22 或 445，这通常是攻击者探测入侵立足点的典型迹象。

数据外泄通常表现为：内部主机向外部地址发送异常大量的出站字节数，尤其是发送到新的或境外地址。一个平时只提供少量响应的 Web 服务器突然上传数 GB 数据，就非常可疑。按出站字节数跟踪通信量最大的主机，有助于发现这些异常。

将目标地址与威胁情报源中的已知恶意 IP 进行交叉比对，可以发现与命令和控制服务器的通信。GuardDuty 会自动执行此操作，但您也可以在 Athena 查询中，将流日志与 IP 阻止列表连接起来，实现自定义检测。

对于某个工作负载的角色而言，使用不常见的端口或协议进行通信是一种警告信号。服务器本应只提供 HTTPS 服务，却产生出站 IRC、Tor 或加密货币挖矿池端口流量，这通常说明服务器已遭到入侵。为每个层建立正常行为基线，可以使这些偏差一目了然。

攻破一台主机后，攻击者会向网络内部横向移动。横向移动表现为违反正常模式的内部到内部连接，例如应用服务器突然向许多对等主机建立 SSH 或 SMB 会话。不符合架构预期的东西向流量值得仔细检查。

在大规模环境中，您可以通过 Athena 分析 S3 中的流日志数据。SQL 可以按源地址分组、统计不同端口数量、汇总出站字节数，以及按操作进行筛选。几条设计良好的查询，就能将数十亿条记录缩减为一份高风险流量清单，速度远快于人工审查。

为了提高速度，请将流日志发送到 CloudWatch Logs，并针对可疑模式使用指标筛选器和告警；或者通过订阅筛选器将日志流式传送给 Lambda 检测器。这样可以将事后搜寻转变为近实时告警，在有人响应之前缩短攻击者的行动窗口。

并非每个异常都是攻击。您自己的安全工具、运行状况检查和备份所使用的扫描器，都会产生良性模式。通过为已知来源设置允许列表，并为正常流量设置基线来调优检测，可以让告警保持可信，避免真正的信号淹没在噪声中。

最有效的方法是结合使用托管式检测和自定义检测：让 GuardDuty 自动根据流日志标记已知威胁，使用 Athena 进行深入的自定义搜寻，并保留 CloudWatch 告警 来监控最高优先级的模式。流日志是三者共用的证据基础，使它们能够协同工作。

测试您的威胁搜寻技能。

搜寻以下模式：端口扫描（一个来源、多个端口、REJECT），横向扫描（一个端口、多个主机），数据外泄（向新的 IP 发送大量出站字节），联系已知恶意 IP，以及横向移动（异常的东西向流量）。使用 Athena 执行深入查询，使用 CloudWatch 告警进行实时告警，并使用 GuardDuty 进行托管式检测，同时排除良性噪声。