Mobile-Menu

Analyse Security-relevanter Events Tipps zu Amazon Detective

Von Bertram Dorn

Anbieter zum Thema

Arvato Systems
Rapid7 Germany
Arctic Wolf Networks Germany GmbH
Amazon Web Services Germany GmbH

Die Analyse sicherheitsrelevanter Vorfälle bei Unternehmen unter Umständen mit gleich mehreren AWS-Konten und in heterogenen Umgebungen ist komplex. Amazon Detective bietet für diese Aufgabe einen verwalteten Dienst, mit dem Nutzer automatisiert große Mengen Log-Daten verschiedener Accounts sammeln und auswerten können.

Amazon Detective vereinfacht das Analysieren, Untersuchen und schnelle Identifizieren der Ursache von potentiellen Sicherheits­gefährdungen oder verdächtigen Aktivitäten.
Amazon Detective vereinfacht das Analysieren, Untersuchen und schnelle Identifizieren der Ursache von potentiellen Sicherheits­gefährdungen oder verdächtigen Aktivitäten.
(Bild: gemeinfrei / Pixabay)

Um sicherheitsrelevante Vorfälle mit mehreren AWS-Konten und in heterogenen Umgebungen effizient analysieren zu können, brauchen IT-Sicherheits-Analysten besondere Dienste, um zum Beispiel einen auffälligen API-Aufruf oder potentiell kompromittierte Zugriffsberechtigungen schnell, einfach und tiefgehend zu identifizieren und zu analysieren. Dabei suchen die Anwender nach den grundlegenden Ursachen und Auswirkungen eines Vorganges oder Angriffs auf die jeweilige Umgebung der Ressourcen auf AWS. Die entscheidenden Fragen lauten dann zum Beispiel: Ist ein API-Aufruf für das Berechtigungsprofil atypisch? Entspricht das gestiegene Datenaufkommen einer Compute-Instanz noch dem erwartbaren Rahmen?

In der Regel erfordert eine solche Analyse das Sammeln und Auswerten von Sensor-Daten aus verschiedenen Quellen wie Netzwerk-, Anwendungs- und Sicherheitsüberwachungssystemen. Diese bieten Informationen etwa zu Benutzeraktivitäten, API-Nutzung oder IP-Datenverkehr. Ohne unterstützende Dienste verlangt das eine hohe technische Expertise der entsprechenden Systeme und spezialisierte Skripts sowie verschiedene Technologien und Instrumente wie SIEM oder ETL. Weil in den meisten AWS-Infrastrukturen kontinuierlich Accounts und Anwendungen neu hinzukommen, wächst die Herausforderung zusätzlich: Wenn Sicherheitsanalysten die Daten auswerten, haben sie ständig eine Veränderung des normalen Verhaltens und neue Aktivitätsmuster zu berücksichtigen.

Bildergalerie
Bildergalerie mit 6 Bildern

Amazon Detective bietet für diese Aufgabe einen verwalteten Dienst, mit dem Nutzer automatisiert große Mengen Log-Daten verschiedener Accounts sammeln und auswerten können. Amazon Detective filtert und sortiert dafür den Datenfluss von Diensten wie AWS Guard Duty, AWS CloudTrail sowie die FlowLog-Daten der Amazon Virtual Private Cloud Nutzung. Über die gesamte AWS-Umgebung hinweg erhalten Anwender schnell ein graphisches Modell des Datenaustausches und des Verhaltens einzelner Ressourcen. Weitere Informationen lassen sich mit wenigen Klicks abrufen. Machine-Learning-Verfahren helfen dabei, einen Vorfall gegebenenfalls als atypisch und damit sicherheitsrelevant zu bewerten.

Das Erstellen einer neuen Abfrage erfolgt dabei einfach und in nur wenigen Schritten über den Dienst – ohne zwingend erforderliches zusätzlichs Coding oder Skripte.

Amazon Detective wird in der AWS Management Console per Klick aktiviert. Im nächsten Schritt legt der Administrator zunächst Member-Accounts an, um den Datenstrom von bis zu 1.000 AWS-Accounts über das ganze Unternehmen hinweg zu überwachen. Durch die Konfiguration begleitet ihn dabei der Amazon Detective Dienst. Ebenso erstellt er einen Master-Account, um die Informationen aus den einzelnen Accounts zu aggregieren. Um eine Abfrage durchzuführen, wählt der Anwender über Amazon Detective Search den Ressourcen-Typ und die ID aus. Sofort startet der Dienst die Analyse und baut innerhalb weniger Minuten eine visuelle Auswertung der abgefragten Ressource und des sie betreffenden Verhaltens auf. Die Grafik präsentiert Ergebnisse zu Logins, API-Aufrufen und zum Netzverkehr. Mit einfachen Mausklicks lassen sich weitere sicherheitsrelevante Metriken abfragen.

Der Dienst kommt dabei ohne Agenten, Sensoren oder zusätzlich zu installierender Software aus. Die Daten werden direkt aus AWS abgefragt, die sonstige IT-Infrastruktur ist davon nicht betroffen. Dadurch entstehen keine zusätzlichen Kosten und die Leistung bleibt unberührt.

Anwender verwalten Amazon Detective entweder über die AWS Management Console oder über die Amazon Detective Management-Schnittstelle. Durch die Management-APIs kann der Dienst direkt in die Standardprozesse für das Registrieren, Aktivieren und Bereitstellen von Accounts integriert werden.

Amazon Detective ist ein regionaler Dienst. Er kann also in jeder AWS-Region ausgeführt werden, in der Analysen durchgeführt werden sollen. Alle Daten werden in der AWS-Region verarbeitet, in der sie entstehen. Durch Analysten erstellte Datenanalysen und Log-Zusammenfassungen können für ein Jahr vorgehalten werden. Das ermöglicht tiefgehende Analysen. Nach Deaktivierung des Dienstes werden die durch Detective erstellten Daten gelöscht.

Amazon Detective ist zur Zeit in vierzehn AWS-Regionen verfügbar: US East (Ohio), US East (N. Virginia), US West (N. California), US West (Oregon), Asia Pacific (Seoul), Asia Pacific (Singapur), Asia Pacific (Sydney), Asia Pacific (Tokyo), Europe (Frankfurt), Europe (Ireland), Europe (London), Europe (Paris), Canada (Central) und South America (São Paulo).

Über den Autor: Bertram Dorn ist Principal Solutions Architect Security and Compliance bei Amazon Web Services.

Automatisierung, KI und Cyber-Sicherheit

Automatisierung spielt für die Cyber-Sicherheit eine wachsende Rolle, denn sie ermöglicht eine intelligentere und effizientere Abwehr. So lassen sich zum Beispiel neue Bedrohungen zumindest bei ihrem ersten Auftreten lediglich durch ihre auffälligen Verhaltensmuster erkennen. Nur eine automatisierte Auswertung zum Beispiel atypischer Log-Daten sorgt dann für eine schnelle Abwehr. Die manuelle Suche nach Angriffsmustern ist in dieser Situation zu zeitaufwändig und komplex. Angesichts einer großen Anzahl von Zugriffen auf Daten und Applikationen sind Sicherheitsteams zudem schnell überlastet. In der Folge entstehen Fehler oder böswillige Aufrufe einer Datei oder einer Anwendung werden schlicht übersehen.

Automatisierte Analyselösungen verwenden KI und ML, um Zugriffsmuster in Geschäftsdatenbanken und Anwendungen zu verstehen. Aufgrund der Analyse mit der Zeit gesammelter Daten sind sie in der Lage, Anomalien automatisiert zu erkennen, die auf einen Angriff hindeuten könnten. Damit ersparen sie den Administratoren komplexe und zeitaufwändige Maßnahmen zum Erkennen von Angriffen.

Die Wirksamkeit der auf künstlicher Intelligenz und Machine Learning beruhenden Angriffserkennung verbessert sich dabei permanent anhand der Daten, mit denen sie gefüttert und trainiert wird. Das macht auf solchen Technologien basierende Verfahren zu einer idealen Lösung für die Cloud-Sicherheit: Jetzt kann die Abwehr-Technik mit den Aktivitäten der Cyber-Kriminellen mithalten, die ständig neue, noch komplexere Angriffe entwickeln. Automatisierte Sicherheitslösungen erkennen Attacken schneller und können Gegenmaßnahmen einleiten, bevor sie größeren Schaden anrichten. Zugleich können IT-Administratoren Aufgaben wie Sicherheitsbewertung, Bedrohungserkennung und Richtlinienmanagement proaktiv verwalten und Sicherheitsvorkehrungen für K

(ID:46529690)

Jetzt Newsletter abonnieren

Täglich die wichtigsten Infos zur IT-Sicherheit

Mit Klick auf „Newsletter abonnieren“ erkläre ich mich mit der Verarbeitung und Nutzung meiner Daten gemäß Einwilligungserklärung (bitte aufklappen für Details) einverstanden und akzeptiere die Nutzungsbedingungen. Weitere Informationen finde ich in unserer Datenschutzerklärung.

Aufklappen für Details zu Ihrer Einwilligung

Weiterführende Inhalte