W jaki sposób możesz korzystać z Amazon GuardDuty, aby wykrywać podejrzaną aktywność na swoim koncie AWS

Amazon GuardDuty to zautomatyzowana usługa wykrywania zagrożeń, która nieustannie monitoruje podejrzane działania i nieautoryzowane zachowanie w celu ochrony Twoich kont AWS, obciążeń i danych przechowywanych w Amazon S3.

W tym artykule dowiesz się, w jaki sposób używać GuardDuty z jego nowo ulepszonym, wysoce dostosowanym modelem uczenia maszynowego, aby lepiej chronić swoje środowisko AWS przed potencjalnymi zagrożeniami. Model ten działa na dużą skalę i obejmuje szerokie spektrum przypadków użycia przez klientów, obciążeń i modeli operacyjnych. Nowe odkrycia dostępne w GuardDuty umożliwiają wykorzystanie wykrywania anomalii do generowania wyników istotnych dla bezpieczeństwa, które wyróżniają się na tle niecodziennych, lecz korzystnych, bez wielu fałszywych alarmów czy szumów.

Ogólny zarys nowego modelu uczenia maszynowego GuardDuty

Nowy model uczenia maszynowego (machine learning) GuardDuty działa na ciągłym strumieniu wywołań API, które pojawiają się na kontach AWS w oparciu o aktywność użytkownika, śledzoną w AWS CloudTrial. Model oparty jest na Variational Autoencoders, które niedawno okazały się jednym z najbardziej sukcesywnych podejść do modelowania złożonych rozkładów danych. Dzięki temu GuardDuty może dowiedzieć się o rozkładzie prawdopodobieństwa wywołań API, przywołanych przez użytkowników na Twoim koncie AWS. Nawet jeśli użytkownik na Twoim koncie po raz pierwszy działa w określony sposób, model przewidzi to, czy jest to część ich normalnych, oczekiwanych operacji. Jest to dodatkowa, probabilistyczna natura, która pomaga w dokładnym wykrywaniu podejrzanego działania na koncie.

Od teraz GuardDuty używa nowego modelu uczenia maszynowego w celu identyfikacji niecodziennej aktywności na Twoich kontach, analizy znaczenia bezpieczeństwa aktywności, biorąc pod uwagę kontekst, w którym zostało ono wywołane i stosowania prawdopodobieństwa predykcyjnego, aby wydać ostateczny werdykt, czy działanie to jest wystarczająco anomalne, aby nakazać rozpoczęcie dochodzenia. Nowe funkcje wykrywania zagrożeń oparte na modelach, dodane do GuardDuty, pomogą także zidentyfikować taktykę ataku, związaną z nietypowymi wywołaniami API, włączając w to wykrywanie, wstępny dostęp, trwałość, eskalację uprawnień, uchylanie się od obrony, dostęp do poświadczeń, wpływ i eksfiltrację danych.

Nowe odkrycia GuardDuty wykazały średni spadek alertów o anomalnej aktywności o ponad 50% przy jednoczesnym rozszerzeniu zasięgu monitorowania o ponad 300%. Nieprawidłowe zachowanie użytkownika, które te wyszukiwania flagują, jest bardziej prawdopodobne w ukazaniu rzeczywistej i złośliwej aktywności w porównaniu z poprzednimi anomaliami wykrywanymi w GuardDuty.

Podejrzane zachowanie, w którego wykryciu może teraz pomóc model uczenia maszynowego, obejmuje:

• Odkrycie niecodziennych wywołań interfejsu API Amazon Simple Storage Service (Amazon S3) wraz z różnymi poziomami modyfikacji ustawień dostępu;
• Nieautoryzowane tworzenie nowych użytkowników Amazon Identity and Access Management (IAM) oraz ról lub kluczy dostępu w celu utrwalenia dostępu;
• Przechwytywanie zasobów instancji Amazon Elastic Compute Cloud (Amazon EC2) do wykorzystywania w kopaniu kryptowalut (mining);
• Generowanie migawek Amazon Relational Database Service (Amazon RDS) jako części prób ekstrakcji danych.

Jeśli jesteś stałym klientem GuardDuty, nowe funkcje wykrywania zagrożeń wykorzystujące machine learning są dla Ciebie dostępne w ramach usługi. Tak jak w przypadku wszystkich wykryć GuardDuty, twórcy pracują nad ich ciągłym ulepszaniem i rozszerzaniem, a nowe funkcje wykrywania są domyślnie włączone dla wszystkich kont AWS obsługujących GuardDuty bez dodatkowych kosztów. Oznacza to, że w czasie, w którym to czytasz, model śledzi aktywność API użytkowników na Twoich kontach w dziesiątkach usług AWS, w tym Amazon EC2, Amazon Identity and Access Management (IAM), Amazon Simple Storage Service (S3), Amazon DynamoDB, Amazon Elasticsearch Service, Amazon Relational Database Service (RDS), AWS Key Management Service (KMS), Amazon Elastic Container Registry (Amazon ECR) i AWS Secrets Manager.

Wzbogacone metadane o alertach, aby pomóc Ci w szybkim segregowaniu nowych wykrytych zagrożeń

Nowe funkcje wykrywania behawioralnego uczenia maszynowego w GuardDuty oferują Ci bogate dane kontekstowe jako część ustaleń GuardDuty. Nowe wyniki GuardDuty pozwalają na szybkie i natychmiastowe podejmowanie decyzji o tym, czy wyzwolić przepływ pracy w odpowiedzi na incydenty. Możesz zobaczyć ten wzbogacony kompleks w konsoli GuardDuty, a pełne szczegóły zostały zawarte w wyszukiwaniu JSON usuniętym przez Amazon EventBridge i opublikowanym w AWS Security Hub. W nowych wynikach od teraz możesz zobaczyć szczegółową listę wszystkich nietypowych interfejsów API, które zostały wywołane przez tego samego użytkownika w przeciągu kilku minut. Na przykład, zamiast informowania Cię, że użytkownik IAM Admin-1 w sposób nieprawidłowy wywołał interfejs API S3 ListBuckets, GuardDuty poinformuje Cię, że w pobliżu tej operacji użytkownik także anomalnie wywołał interfejsy API GetBucketACL, GetBucketPublicAccessBlock i PutBucketPublicAccessBlock. Wszystkie interfejsy API znajdujące się na liście zostaną pogrupowane według powiązanej z nimi usługi AWS, aby jeszcze bardziej ułatwić szybkie zrozumienie, do których usług uzyskano dostęp w ramach anomalnej aktywności. Wynik dostarczy także również szczegółowych informacji na temat tego, które z anomalnie wywołanych interfejsów API zostały wywołane pomyślnie, a które się nie powiodły, w tym otrzymana odpowiedź o błędzie. Ten kontekst może być ważny w trakcie selekcji wyników. Na przykład pomyślne wywołania interfejsu API wskazują, że użytkownik był w stanie wykonać operacje i może reprezentować incydent o wyższej wadze. Z drugiej strony, jeśli dostęp użytkownika został odrzucony, mogłoby to wskazywać na złamanie poświadczeń, a osoba atakująca próbuje zidentyfikować dostępne uprawnienia dostępu.

Każde odkrycie wskaże w sposób wyraźny, które atrybuty działania były nietypowe dla konkretnego użytkownika, tak jak dla wszystkich innych użytkowników, którzy działają na tym samym koncie AWS, aby pomóc Ci zidentyfikować, dlaczego określone zachowanie zostało oflagowane jako wysoce podejrzane. Szczegóły wyszukiwania obejmują także informacje o oczekiwanym zachowaniu użytkownika i wszystkich innych użytkowników, którzy działają na tym samym koncie AWS. Oczekiwane zachowanie zostanie pogrupowane w oparciu o częstotliwość w okresie profilowania. Na przykład często (codziennie lub co tydzień), nieczęsto (kilka razy w miesiącu) lub rzadko (mniej niż raz w miesiącu).

Podsumowanie nowych i przestarzałych wyników

Poniżej znajduje się podsumowanie wszystkich nowo dodanych typów wyszukiwania.

Nowe typy wyszukiwania GuardDuty

1. Discovery:IAMUser/AnomalousBehavior
Dotkliwość: Niska

Opis: Te wyniki informują Cię, że na koncie zaobserwowano nietypowe żądanie API. Obserwowany interfejs API jest powiązany z etapem wykrywania ataku, w którym autoryzowany użytkownik gromadzi informacje w celu określenia, czy Twoje stanowisko AWS jest podatne na szerszy atak. APIs w tej kategorii to zwykle operacje pobierania, opisywania lub wyświetlania, takie jak DescribeInstances, GetRolePolicy lub ListAccessKeys.

2. InitialAccess:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Opis: Ten wynik informuje, że na Twoim koncie został zaobserwowane nieprawidłowe żądanie API. Obserwowane API jest zwykle kojarzone z początkowym etapem dostępu podczas ataku, w którym nieautoryzowany użytkownik próbuje uzyskać dostęp do Twojego środowiska. APIs w tej kategorii są operacjami pobierania tokenu lub sesji, takimi jak GetFederationToken, StartSession lub GetAuthorizationToken.

3. Persistence:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Ten wynik informuje o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API jest często kojarzone z taktykami trwałości, w których nieautoryzowany użytkownik uzyskał dostęp do Twojego środowiska i próbuje go utrzymać. APIs w tej kategorii to zazwyczaj operacje tworzenia, importowania lub modyfikowania, jak CreateAccessKey, ImportKeyPair lub ModifyInstanceAttribute.

4. PrivilegeEscalation:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Ten wynik informuje o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API jest często kojarzone z taktykami trwałości, w których nieautoryzowany użytkownik uzyskał dostęp do Twojego środowiska i próbuje go utrzymać. APIs w tej kategorii to zazwyczaj operacje tworzenia, importowania lub modyfikowania, jak CreateAccessKey, ImportKeyPair lub ModifyInstanceAttribute.

5.PrivilegeEscalation:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Ten wynik informuje o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Wzorzec API jest często powiązany z taktykami eskalacji uprawnień, w których nieautoryzowany użytkownik próbuje uzyskać uprawnienia wyższego poziomu do środowiska. APIs w tej kategorii zazwyczaj obejmują operacje, które zmieniają zasady uprawnień IAM, role i użytkowników, na przykład: AssociateIamInstanceProfile, AddUserToGroup, PutUserPolicy.

6. DefenseEvasion:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Ten wynik informuje o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API jest związane z taktykami unikania obrony, w których nieautoryzowany użytkownik próbuje zatrzeć ślady i uniknąć wykrycia. API w tej kategorii to zwykle operacje usuwania, wyłączania lub zatrzymywania, na przykład: DeleteFlowLogs, DisableAlarmActions, StopLogging.

7. CredentialAccess:IAMUser/AnomalousBehavior
Dotkliwość: Średnia

Ten wynik informuje o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API związane jest z etapem ataku poświadczającego, w którym nieautoryzowany użytkownik próbuje zebrać hasła, nazwy użytkownika i klucze dostępu do Twojego środowiska. API w tej kategorii obejmuje include GetPasswordData, GetSecretValue i GenerateDbAuthToken.

8. Impact:IAMUser/AnomalousBehavior
Dotkliwość: Wysoka

Ten wynik informuje Cię o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API jest zwykle kojarzone z taktykami wpływu, w których nieautoryzowany użytkownik usiłuje zakłócić operacje, manipulować, przerywać lub niszczyć dane na Twoim koncie. APIs w tej kategorii to zazwyczaj operacje usuwania, aktualizowania lub umieszczania, na przykład: DeleteSecurityGroup, UpdateUser, PutBucketPolicy.

9. Exfiltration:IAMUser/AnomalousBehavior
Dotkliwość: Wysoka

Ten wynik informuje Cię o tym, że na Twoim koncie zaobserwowano nietypowe żądanie API. Obserwowane API jest zwykle kojarzone z taktykami eksfiltracji, w których nieautoryzowany użytkownik próbuje wyprowadzić dane z Twojego środowiska AWS. APIs w tej kategorii są zazwyczaj powiązane z S3, usługami baz danych i EC2, na przykład: PutBucketReplication, CreateSnapshot, RestoreDBInstanceFromDBSnapshot.

Te nowo dodane typy wyszukiwania zastępują niektóre z poprzednich typów wyszukiwania, które obecnie są przestarzałe.

Przestarzałe typy wyszukiwań GuardDuty

Poniższe typy wyszukiwania GuardDuty są przestarzałe. Wycofanie ich weszło w życie 12 marca 2021 roku. Jeśli którykolwiek z wcześniej dostępnych wyników został wygenerowany w Twoim środowisku AWS przed 12 marca 2021 roku, będzie on usunięty w ciągu 90 dni od czasu, kiedy zostały wygenerowane, zgodnie z okresem przechowywania wyników w GuardDuty. Żadna przyszła wersja tych wyszukiwań nie będzie wygenerowana dla Twojego środowiska AWS.

1. Persistence:IAMUser/NetworkPermissions
2. Persistence:IAMUser/ResourcePermissions
3. Persistence:IAMUser/UserPermissions
4. Recon:IAMUser/NetworkPermissions
5. Recon:IAMUser/ResourcePermissions
6. Recon:IAMUser/UserPermissions
7. ResourceConsumption:IAMUser/ComputeResources
8. Stealth:IAMUser/LoggingConfigurationModified
9. UnauthorizedAccess:IAMUser/ConsoleLogin
10. Discovery:S3/BucketEnumeration.Unusual
11. Impact:S3/PermissionsModification.Unusual
12. Impact:S3/ObjectDelete.Unusual
13. PrivilegeEscalation:IAMUser/AdministrativePermissions

W celu uzyskania bardziej szczegółowych informacji na temat nowych wyszukiwań, tak jak tych, które zostały wycofane, zapoznaj się z Finding Typer w Podręczniku Użytkownika Amazon GuardDuty.

Wnioski

Jeśli korzystasz już z usługi Amazon GuardDuty, nie są wymagane żadne dalsze działania, aby rozpocząć korzystanie z nowej funkcji w celu przeglądania wyników w konsoli. Jeśli posiadasz skonfigurowane GuardDuty w celu „przepychania” wyników przez AWS EventBridge do dalszego wykorzystania przez narzędzia przepływu pracy, powinieneś sprawdzić, czy Twoje reguły EventBridge są skonfigurowane w celu dostarczania nowo dodanych wyników.

W AWS twórcy są zobowiązani do ciągłego ulepszania GuardDuty, aby jeszcze bardziej ułatwić Ci bezpieczne działania w AWS. Twórcy AWS zachęcają do feedbacku, gdyż wszystkie uwagi są dla nich istotne. Jeśli posiadasz sugestie na temat treści zawartych w tym artykule, pozostaw komentarz w sekcji Komentarze poniżej. Jeśli masz pytania na temat artykułu, rozpocznij wątek na forum Amazon GuardDuty lub skontaktuj się ze wsparciem AWS.

źródło: AWS