Análise pericial usando logs do CloudTrail

Proteger sua infraestrutura em cloud contra todos os ataques é praticamente impossível. Quando ocorre um ataque ao ambiente em cloud, é necessário agir imediatamente para identificar os vestígios deixados pelo invasor. Em seguida, é essencial realizar uma análise pericial para correlacionar essas evidências e identificar a causa do ataque.

Em ambientes em cloud, os logs fornecem todas as informações necessárias para essa investigação. O CloudTrail, por exemplo, registra todos os eventos que ocorrem na plataforma Amazon Web Services (AWS). No entanto, a análise de logs não pode ser feita de forma isolada. Para extrair o máximo de valor dos logs do CloudTrail, é indispensável contar com uma ferramenta de gerenciamento de logs em cloud.

Gerenciamento de logs da AWS com o Cloud Security Plus

O Cloud Security Plus, nossa ferramenta própria de gerenciamento em cloud, ajuda a manter controle total sobre todo o ambiente em cloud. Após coletar os logs do AWS CloudTrail e os logs de acesso do servidor S3, a solução analisa essas informações e fornece insights críticos sobre o ambiente da AWS.

A solução também elimina o processo complexo de configuração normalmente necessário para que uma ferramenta de gerenciamento de logs comece a coletar dados do CloudTrail. Ele oferece um recurso de configuração automática que executa todas as etapas de configuração da AWS.

O papel do Cloud Security Plus na análise pericial

Realizar uma análise pericial manualmente é um processo exaustivo. Com armazenamento flexível de logs e um mecanismo de busca eficiente, o Cloud Security Plus transforma essa experiência.

• Permite armazenar os logs coletados pelo tempo necessário. Logs arquivados funcionam como uma referência valiosa para a identificação de ameaças.
• É possível aprofundar a análise dos dados de log e recuperar exatamente as informações desejadas, por meio da busca extremamente rápida do Cloud Security Plus. (Obrigado, Elasticsearch!)
• Identifique quem conduziu o ataque e visualize todas as atividades realizadas por esse usuário na AWS.

Para entender a importância dos logs do CloudTrail, considere o seguinte exemplo: Uma empresa multinacional de computação em cloud hospeda suas aplicações críticas na AWS. As credenciais do usuário root, que não foram removidas após as configurações iniciais, acabaram caindo nas mãos de um colaborador mal-intencionado. Esse colaborador decidiu causar danos ao encerrar todos os servidores nos quais as aplicações da empresa estavam em execução.

Nesse cenário, os relatórios do Cloud Security Plus ajudariam a empresa a identificar a causa do ataque. O relatório Recent EC2 Instance State Changes, em especial, forneceria todos os detalhes necessários sobre o encerramento das instâncias EC2. A empresa também poderia recuperar o nome de usuário do colaborador mal-intencionado a partir do log correspondente à ação de encerramento e, em seguida, utilizar a aba de pesquisa do Cloud Security Plus para obter uma lista detalhada de todas as atividades realizadas por esse usuário na AWS.