Análisis forense utilizando logs de CloudTrail para AWS con Cloud Security Plus

Proteger su infraestructura en la nube contra todo ataque es prácticamente imposible. En el caso de un asalto a su entorno en la nube, usted necesita pasar inmediatamente a la acción para detectar pistas que el atacante ha dejado atrás. Luego de ello, necesita realizar un análisis forense para unir las pistas y encontrar la causa del ataque.

En un entorno en la nube, los logs le darán todas las pistas que necesita. Por ejemplo, CloudTrail registra cada evento que ocurre en su plataforma de AWS. Cuando se trata del análisis de logs, usted no puede hacerlo solo—para extraer la máxima cantidad de información de los logs de CloudTrail, necesita una herramienta para la gestión de logs en la nube.

Cloud Security Plus para la gestión de logs de AWS

Nuestra propia herramienta para la gestión en la nube, Cloud Security Plus, le ayuda a mantener controlado todo su entorno en la nube. Luego de recuperar sus logs de AWS CloudTrail y del acceso al servidor S3, Cloud Security Plus los analiza para ofrecerle información crítica sobre su entorno en la nube.

Cloud Security Plus también le ahorra el tedioso proceso de configuración requerido para cualquier herramienta para la gestión de logs y así empezar a recuperar logs de CloudTrail. Tiene una función de autoconfiguración que realiza todos los pasos de configuración de AWS por usted.

El rol de Cloud Security Plus en el análisis forense

Realizar manualmente análisis forense es agotador. No obstante, con su almacenamiento flexible de logs y un eficiente mecanismo de búsqueda, Cloud Security Plus cambia las cosas.

• Almacene logs recopilados por el tiempo que necesite, son una gran referencia para identificar amenazas.
• Examine detalladamente en los datos de los logs para recuperar la información que está buscando mediante la rapidísima búsqueda de Cloud Security Plus. (¡Gracias, Elasticsearch!)
• Identifique quién lideró el ataque y vea todas las actividades que el usuario ha realizado en AWS.

Para entender cuán importantes pueden ser los logs de CloudTrail, veamos un ejemplo: Una compañía multinacional de computación en la nube aloja sus aplicaciones críticas en AWS. Las credenciales del usuario raíz, que no eliminó después de las configuraciones iniciales, de alguna manera llegaron a las manos de un empleado malicioso. Este empleado decidió generar caos al terminar todos los servidores en que se ejecutan las aplicaciones de la compañía.

En este caso, los informes de Cloud Security Plus' podrían ayudar a esta compañía a encontrar la causa del ataque. El informe de cambios recientes en la instancia de EC2 en particular proveería todos los detalles necesarios con respecto a la terminación de las instancias de EC2. Podrían también recuperar el nombre de usuario del empleado malicioso del log correspondiente a la actividad de terminación y usar la pestaña de búsqueda en Cloud Security Plus para obtener una lista detallada de todas las actividades que el usuario realizó en AWS.