Suchen

Analyse Security-relevanter Events Tipps zu Amazon Detective

| Autor / Redakteur: Bertram Dorn / Peter Schmitz

Die Analyse sicherheitsrelevanter Vorfälle bei Unternehmen unter Umständen mit gleich mehreren AWS-Konten und in heterogenen Umgebungen ist komplex. Amazon Detective bietet für diese Aufgabe einen verwalteten Dienst, mit dem Nutzer automatisiert große Mengen Log-Daten verschiedener Accounts sammeln und auswerten können.

Firma zum Thema

Amazon Detective vereinfacht das Analysieren, Untersuchen und schnelle Identifizieren der Ursache von potentiellen Sicherheits­gefährdungen oder verdächtigen Aktivitäten.
Amazon Detective vereinfacht das Analysieren, Untersuchen und schnelle Identifizieren der Ursache von potentiellen Sicherheits­gefährdungen oder verdächtigen Aktivitäten.
(Bild: gemeinfrei / Pixabay )

Um sicherheitsrelevante Vorfälle mit mehreren AWS-Konten und in heterogenen Umgebungen effizient analysieren zu können, brauchen IT-Sicherheits-Analysten besondere Dienste, um zum Beispiel einen auffälligen API-Aufruf oder potentiell kompromittierte Zugriffsberechtigungen schnell, einfach und tiefgehend zu identifizieren und zu analysieren. Dabei suchen die Anwender nach den grundlegenden Ursachen und Auswirkungen eines Vorganges oder Angriffs auf die jeweilige Umgebung der Ressourcen auf AWS. Die entscheidenden Fragen lauten dann zum Beispiel: Ist ein API-Aufruf für das Berechtigungsprofil atypisch? Entspricht das gestiegene Datenaufkommen einer Compute-Instanz noch dem erwartbaren Rahmen?

In der Regel erfordert eine solche Analyse das Sammeln und Auswerten von Sensor-Daten aus verschiedenen Quellen wie Netzwerk-, Anwendungs- und Sicherheitsüberwachungssystemen. Diese bieten Informationen etwa zu Benutzeraktivitäten, API-Nutzung oder IP-Datenverkehr. Ohne unterstützende Dienste verlangt das eine hohe technische Expertise der entsprechenden Systeme und spezialisierte Skripts sowie verschiedene Technologien und Instrumente wie SIEM oder ETL. Weil in den meisten AWS-Infrastrukturen kontinuierlich Accounts und Anwendungen neu hinzukommen, wächst die Herausforderung zusätzlich: Wenn Sicherheitsanalysten die Daten auswerten, haben sie ständig eine Veränderung des normalen Verhaltens und neue Aktivitätsmuster zu berücksichtigen.

Bildergalerie

Bildergalerie mit 6 Bildern

Amazon Detective bietet für diese Aufgabe einen verwalteten Dienst, mit dem Nutzer automatisiert große Mengen Log-Daten verschiedener Accounts sammeln und auswerten können. Amazon Detective filtert und sortiert dafür den Datenfluss von Diensten wie AWS Guard Duty, AWS CloudTrail sowie die FlowLog-Daten der Amazon Virtual Private Cloud Nutzung. Über die gesamte AWS-Umgebung hinweg erhalten Anwender schnell ein graphisches Modell des Datenaustausches und des Verhaltens einzelner Ressourcen. Weitere Informationen lassen sich mit wenigen Klicks abrufen. Machine-Learning-Verfahren helfen dabei, einen Vorfall gegebenenfalls als atypisch und damit sicherheitsrelevant zu bewerten.

Das Erstellen einer neuen Abfrage erfolgt dabei einfach und in nur wenigen Schritten über den Dienst – ohne zwingend erforderliches zusätzlichs Coding oder Skripte.

Amazon Detective wird in der AWS Management Console per Klick aktiviert. Im nächsten Schritt legt der Administrator zunächst Member-Accounts an, um den Datenstrom von bis zu 1.000 AWS-Accounts über das ganze Unternehmen hinweg zu überwachen. Durch die Konfiguration begleitet ihn dabei der Amazon Detective Dienst. Ebenso erstellt er einen Master-Account, um die Informationen aus den einzelnen Accounts zu aggregieren. Um eine Abfrage durchzuführen, wählt der Anwender über Amazon Detective Search den Ressourcen-Typ und die ID aus. Sofort startet der Dienst die Analyse und baut innerhalb weniger Minuten eine visuelle Auswertung der abgefragten Ressource und des sie betreffenden Verhaltens auf. Die Grafik präsentiert Ergebnisse zu Logins, API-Aufrufen und zum Netzverkehr. Mit einfachen Mausklicks lassen sich weitere sicherheitsrelevante Metriken abfragen.

Der Dienst kommt dabei ohne Agenten, Sensoren oder zusätzlich zu installierender Software aus. Die Daten werden direkt aus AWS abgefragt, die sonstige IT-Infrastruktur ist davon nicht betroffen. Dadurch entstehen keine zusätzlichen Kosten und die Leistung bleibt unberührt.

Anwender verwalten Amazon Detective entweder über die AWS Management Console oder über die Amazon Detective Management-Schnittstelle. Durch die Management-APIs kann der Dienst direkt in die Standardprozesse für das Registrieren, Aktivieren und Bereitstellen von Accounts integriert werden.

Amazon Detective ist ein regionaler Dienst. Er kann also in jeder AWS-Region ausgeführt werden, in der Analysen durchgeführt werden sollen. Alle Daten werden in der AWS-Region verarbeitet, in der sie entstehen. Durch Analysten erstellte Datenanalysen und Log-Zusammenfassungen können für ein Jahr vorgehalten werden. Das ermöglicht tiefgehende Analysen. Nach Deaktivierung des Dienstes werden die durch Detective erstellten Daten gelöscht.

Amazon Detective ist zur Zeit in vierzehn AWS-Regionen verfügbar: US East (Ohio), US East (N. Virginia), US West (N. California), US West (Oregon), Asia Pacific (Seoul), Asia Pacific (Singapur), Asia Pacific (Sydney), Asia Pacific (Tokyo), Europe (Frankfurt), Europe (Ireland), Europe (London), Europe (Paris), Canada (Central) und South America (São Paulo).

Über den Autor: Bertram Dorn ist Principal Solutions Architect Security and Compliance bei Amazon Web Services.

(ID:46529690)