Экспертиза MaxPatrol SIEM

Периодически сравнивайте тома блочных облачных хранилищ со стандартными, чтобы выявить изменения и дополнения, внесенные злоумышленниками.

Создайте централизованный журнал активности экземпляров, который можно использовать для отслеживания и анализа системных событий даже после возврата к снапшоту, отката изменений или изменения параметров постоянства данных или типа хранилища. Отслеживайте события, связанные с деактивацией экземпляров, происходящие вне рамок плановых процессов. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Собирайте данные об активности компонентов вычислительной инфраструктуры облачных служб в определенных журналах. Отслеживайте подозрительные последовательности событий, включая удаление нескольких снапшотов за короткий период. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Отслеживайте неожиданное удаление или несанкционированное отсутствие томов блочных облачных хранилищ. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Собирайте данные об активности компонентов вычислительной инфраструктуры облачных служб в определенных журналах. Отслеживайте подозрительные последовательности событий, включая создание нескольких снапшотов за короткий период. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Создайте централизованный журнал активности экземпляров, который можно использовать для отслеживания и анализа системных событий даже после возврата к снапшоту, отката изменений или изменения параметров постоянства данных или типа хранилища. Отслеживайте события, связанные со снапшотами и откатами, а также изменениями конфигурации ВМ, происходящие вне рамок обычных рабочих процессов. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Удаление нового экземпляра или виртуальной машины — стандартный элемент работы во многих облачных средах. Поэтому рекомендуется рассматривать события не обособленно, а как элементы цепочки, за которыми могут последовать те или иные дальнейшие действия злоумышленников. Например, обнаружение такой последовательности событий, как создание экземпляра, монтирование снапшота к этому экземпляру и удаление этого экземпляра от имени новой учетной записи пользователя, может указывать на подозрительную активность.

В AWS журналы CloudTrail фиксируют удаление экземпляра в событии TerminateInstances, а в Azure удаление ВМ может быть зафиксировано в журналах активности Azure . Журналы аудита администратора Google, хранящиеся в аудитах облачных служб, позволяют выявить использование вычислительных экземпляров Google Cloud для удаления ВМ.

Периодически сравнивайте снапшоты со стандартными, чтобы обнаружить изменения и дополнения, внесенные злоумышленниками.

Отслеживайте увеличение квот во всех регионах, особенно в тех случаях, когда квота увеличивается несколько раз за короткий период или увеличивается в неиспользуемых регионах. Отслеживайте изменения в настройках на уровне тенанта, связанных с подписками и включенными регионами.

Создание нового экземпляра или виртуальной машины — стандартный элемент работы во многих облачных средах. Поэтому рекомендуется рассматривать события не обособленно, а как элементы цепочки, за которыми могут последовать те или иные дальнейшие действия злоумышленников. Например, создание экземпляра от имени новой учетной записи пользователя или неожиданное создание одного или нескольких снапшотов с последующим созданием экземпляра может указывать на подозрительную активность. В AWS журналы CloudTrail фиксируют создание экземпляра в событии RunInstances, а в Azure создание ВМ может быть зафиксировано в журналах активности Azure . Журналы аудита администратора Google, хранящиеся в аудитах облачных служб, позволяют выявить использование вычислительных экземпляров Google Cloud для создания ВМ.

Отслеживайте неожиданное внесение изменений в тома блочных облачных хранилищ. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Собирайте данные об активности компонентов вычислительной инфраструктуры облачных служб в определенных журналах. Отслеживайте подозрительные события, включая монтирование снапшота в новом экземпляре новыми или нетипичными пользователями. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Создайте централизованный журнал активности экземпляров, который можно использовать для отслеживания и анализа системных событий даже после возврата к снапшоту, отката изменений или изменения параметров постоянства данных или типа хранилища. Отслеживайте события, связанные с активацией экземпляров, происходящие вне рамок обычных рабочих или плановых процессов. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Периодически сравнивайте экземпляры со стандартными, чтобы обнаружить изменения и дополнения, внесенные злоумышленниками.

Отслеживайте неожиданное создание или несанкционированное наличие томов блочных облачных хранилищ. Чтобы уменьшить количество ложных срабатываний, корректные процедуры контроля изменений можно помечать идентификатором (например, тегом или заголовком), который будет записываться в журналах вместе с изменениями, если это поддерживается поставщиком облачных услуг. Таким образом можно отличать ожидаемые изменения от действий злоумышленников.

Ограничьте права на создание новых инстансов по принципу минимальных привилегий. Организациям следует ограничить количество пользователей с ролью IAM, имеющей привилегии администратора, а также уменьшить количество постоянных привилегированных ролей и периодически проверять пользователей, роли и политики IAM.

Регулярно проверяйте права пользователей, чтобы убедиться, что возможность создавать новые экземпляры имеют только те пользователи, которым это требуется.