![<\/a><\/div>\nL’infrastructure cloud devenant l’\u00e9pine dorsale des entreprises modernes, il est primordial de garantir la s\u00e9curit\u00e9 de ces environnements. AWS (Amazon Web Services) \u00e9tant toujours le cloud dominant, il est important pour tout professionnel de la s\u00e9curit\u00e9 de savoir o\u00f9 chercher des signes de compromission. AWS CloudTrail se distingue comme un outil essentiel pour le suivi et la journalisation de l’activit\u00e9 des API, fournissant un enregistrement complet des actions effectu\u00e9es au sein d’un compte AWS. Consid\u00e9rez AWS CloudTrail comme un journal d’audit ou d’\u00e9v\u00e9nements pour tous les appels d’API effectu\u00e9s dans votre compte AWS. Pour les professionnels de la s\u00e9curit\u00e9, la surveillance de ces journaux est essentielle, en particulier lorsqu’il s’agit de d\u00e9tecter d’\u00e9ventuels acc\u00e8s non autoris\u00e9s, par exemple via des cl\u00e9s d’API vol\u00e9es. Ces techniques et bien d’autres, je les ai apprises au cours des incidents sur lesquels j’ai travaill\u00e9 chez AWS et que nous avons int\u00e9gr\u00e9es dans AWS CloudTrail. SANS POUR 509<\/a>Forensics dans le Cloud d’entreprise. <\/p>\n1. Appels d’API et mod\u00e8les d’acc\u00e8s inhabituels<\/h2>\nA. Augmentation soudaine des demandes d’API<\/h3>\nL’un des premiers signes d’une faille de s\u00e9curit\u00e9 potentielle est une augmentation inattendue des requ\u00eates API. CloudTrail enregistre chaque appel API effectu\u00e9 dans votre compte AWS, y compris la personne qui a effectu\u00e9 l’appel, la date et l’origine de l’appel. Un attaquant disposant de cl\u00e9s API vol\u00e9es peut lancer un grand nombre de requ\u00eates dans un court laps de temps, soit en sondant le compte pour obtenir des informations, soit en tentant d’exploiter certains services.<\/p>\nQue rechercher\u00a0:<\/p>\n\nUne augmentation soudaine et inhabituelle de l\u2019activit\u00e9 des API.<\/li>\nAppels API provenant d’adresses IP inhabituelles, en particulier de r\u00e9gions o\u00f9 les utilisateurs l\u00e9gitimes n’op\u00e8rent pas.<\/li>\nTentatives d\u2019acc\u00e8s \u00e0 une grande vari\u00e9t\u00e9 de services, surtout s\u2019ils ne sont pas g\u00e9n\u00e9ralement utilis\u00e9s par votre organisation.<\/li>\n<\/ul>\nNotez que la fonction de garde (si activ\u00e9e) signalera automatiquement ce type d’\u00e9v\u00e9nements, mais vous devez \u00eatre vigilant pour les trouver. <\/p>\nB. Utilisation non autoris\u00e9e du compte root<\/h3>\nAWS recommande fortement d’\u00e9viter d’utiliser le compte root pour les op\u00e9rations quotidiennes en raison de son niveau \u00e9lev\u00e9 de privil\u00e8ges. Tout acc\u00e8s au compte root, en particulier si des cl\u00e9s API qui lui sont associ\u00e9es sont utilis\u00e9es, constitue un signal d’alarme important.<\/p>\nQue rechercher\u00a0:<\/p>\n\nAppels d’API effectu\u00e9s avec les informations d’identification du compte root, en particulier si le compte root n’est g\u00e9n\u00e9ralement pas utilis\u00e9.<\/li>\nModifications apport\u00e9es aux param\u00e8tres au niveau du compte, telles que la modification des informations de facturation ou des configurations de compte.<\/li>\n<\/ul>\n2. Activit\u00e9 IAM anormale<\/h2>\nA. Cr\u00e9ation suspecte de cl\u00e9s d’acc\u00e8s<\/h3>\nLes attaquants peuvent cr\u00e9er de nouvelles cl\u00e9s d’acc\u00e8s pour \u00e9tablir un acc\u00e8s permanent au compte compromis. La surveillance des journaux CloudTrail pour la cr\u00e9ation de nouvelles cl\u00e9s d’acc\u00e8s est essentielle, en particulier si ces cl\u00e9s sont cr\u00e9\u00e9es pour des comptes qui n’en ont g\u00e9n\u00e9ralement pas besoin.<\/p>\nQue rechercher\u00a0:<\/p>\n\nCr\u00e9ation de nouvelles cl\u00e9s d’acc\u00e8s pour les utilisateurs IAM, notamment ceux qui n’en avaient pas besoin auparavant.<\/li>\nUtilisation imm\u00e9diate de cl\u00e9s d\u2019acc\u00e8s nouvellement cr\u00e9\u00e9es, ce qui pourrait indiquer qu\u2019un attaquant teste ou utilise ces cl\u00e9s.<\/li>\nAppels d’API li\u00e9s \u00e0 `CreateAccessKey`, `ListAccessKeys` et `UpdateAccessKey`.<\/li>\n<\/ul>\nC. Mod\u00e8les d’hypoth\u00e8ses de r\u00f4le<\/h3>\nAWS permet aux utilisateurs d’assumer des r\u00f4les en leur accordant des informations d’identification temporaires pour des t\u00e2ches sp\u00e9cifiques. La surveillance des mod\u00e8les d’assumation de r\u00f4les inhabituels est essentielle, car un attaquant pourrait assumer des r\u00f4les pour pivoter au sein de l’environnement.<\/p>\nQue rechercher\u00a0:<\/p>\n\nAppels d’API \u00ab\u00a0AssumeRole\u00a0\u00bb inhabituels ou fr\u00e9quents, en particulier pour les r\u00f4les avec des privil\u00e8ges \u00e9lev\u00e9s.<\/li>\nHypoth\u00e8ses de r\u00f4le \u00e0 partir d\u2019adresses IP ou de r\u00e9gions qui ne sont g\u00e9n\u00e9ralement pas associ\u00e9es \u00e0 vos utilisateurs l\u00e9gitimes.<\/li>\nHypoth\u00e8ses de r\u00f4le suivies d\u2019actions incompatibles avec les op\u00e9rations commerciales normales.<\/li>\n<\/ul>\n3. Acc\u00e8s et d\u00e9placement anormaux des donn\u00e9es<\/h2>\nA. Acc\u00e8s inhabituel au godet S3<\/h3>\nAmazon S3 est souvent la cible des pirates informatiques, car il peut stocker de grandes quantit\u00e9s de donn\u00e9es potentiellement sensibles. La surveillance de CloudTrail pour d\u00e9tecter les acc\u00e8s inhabituels aux compartiments S3 est essentielle pour d\u00e9tecter les cl\u00e9s API compromises.<\/p>\nQue rechercher\u00a0:<\/p>\n\nAppels d’API li\u00e9s \u00e0 `ListBuckets`, `GetObject` ou `PutObject` pour les buckets qui ne voient g\u00e9n\u00e9ralement pas une telle activit\u00e9.<\/li>\nT\u00e9l\u00e9chargements ou chargements de donn\u00e9es \u00e0 grande \u00e9chelle vers et depuis des buckets S3, en particulier s’ils se produisent en dehors des heures normales de bureau.<\/li>\nTentatives d’acc\u00e8s aux buckets qui stockent des donn\u00e9es sensibles, telles que des sauvegardes ou des fichiers confidentiels.<\/li>\n<\/ul>\nB. Tentatives d\u2019exfiltration de donn\u00e9es<\/h3>\nUn attaquant peut tenter de d\u00e9placer des donn\u00e9es hors de votre environnement AWS. Les journaux CloudTrail peuvent aider \u00e0 d\u00e9tecter de telles tentatives d’exfiltration, en particulier si les mod\u00e8les de transfert de donn\u00e9es sont inhabituels.<\/p>\nQue rechercher\u00a0:<\/p>\n\nTransferts de donn\u00e9es volumineux depuis des services tels que S3, RDS (Relational Database Service) ou DynamoDB, notamment vers des adresses IP externes ou inconnues.<\/li>\nAppels d’API li\u00e9s \u00e0 des services tels que AWS DataSync ou S3 Transfer Acceleration qui ne sont g\u00e9n\u00e9ralement pas utilis\u00e9s dans votre environnement.<\/li>\nTente de cr\u00e9er ou de modifier des configurations de r\u00e9plication de donn\u00e9es, telles que celles impliquant la r\u00e9plication inter-r\u00e9gions S3.<\/li>\n<\/ul>\n4. Modifications inattendues du groupe de s\u00e9curit\u00e9<\/h2>\nLes groupes de s\u00e9curit\u00e9 contr\u00f4lent le trafic entrant et sortant vers les ressources AWS. Un attaquant peut modifier ces param\u00e8tres pour ouvrir des vecteurs d’attaque suppl\u00e9mentaires, comme l’activation de l’acc\u00e8s SSH \u00e0 partir d’adresses IP externes.<\/p>\nQue rechercher\u00a0:<\/p>\n\nModifications apport\u00e9es aux r\u00e8gles du groupe de s\u00e9curit\u00e9 qui autorisent le trafic entrant provenant d\u2019adresses IP ext\u00e9rieures \u00e0 votre r\u00e9seau de confiance.<\/li>\nAppels d’API li\u00e9s \u00e0 \u00ab AuthorizeSecurityGroupIngress \u00bb ou \u00ab RevokeSecurityGroupEgress \u00bb qui ne correspondent pas aux op\u00e9rations normales.<\/li>\nCr\u00e9ation de nouveaux groupes de s\u00e9curit\u00e9 avec des r\u00e8gles trop permissives, comme autoriser tout le trafic entrant sur les ports communs.<\/li>\n<\/ul>\n5. \u00c9tapes \u00e0 suivre pour att\u00e9nuer le risque de vol de cl\u00e9s API<\/h2>\nA. Appliquer le principe du moindre privil\u00e8ge<\/h3>\nPour minimiser les dommages qu’un attaquant peut causer avec des cl\u00e9s API vol\u00e9es, appliquez le principe du moindre privil\u00e8ge sur votre compte AWS. Assurez-vous que les utilisateurs et les r\u00f4les IAM disposent uniquement des autorisations n\u00e9cessaires pour effectuer leurs t\u00e2ches.<\/p>\nB. Mettre en \u0153uvre l\u2019authentification multifacteur (MFA)<\/h3>\nExigez l’authentification multifacteur pour tous les utilisateurs IAM, en particulier ceux qui disposent de privil\u00e8ges administratifs. Cela ajoute une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire, ce qui rend l’acc\u00e8s plus difficile pour les attaquants, m\u00eame s’ils ont vol\u00e9 des cl\u00e9s API.<\/p>\nC. Effectuez r\u00e9guli\u00e8rement la rotation et l’audit des cl\u00e9s d’acc\u00e8s<\/h3>\nProc\u00e9dez r\u00e9guli\u00e8rement \u00e0 la rotation des cl\u00e9s d’acc\u00e8s et assurez-vous qu’elles sont associ\u00e9es aux utilisateurs IAM qui en ont r\u00e9ellement besoin. En outre, v\u00e9rifiez l’utilisation des cl\u00e9s d’acc\u00e8s pour vous assurer qu’elles ne sont pas utilis\u00e9es de mani\u00e8re abusive ou \u00e0 partir d’emplacements inattendus.<\/p>\nD. Activer et surveiller CloudTrail et GuardDuty<\/h3>\nAssurez-vous que CloudTrail est activ\u00e9 dans toutes les r\u00e9gions et que les journaux sont centralis\u00e9s pour analyse. De plus, AWS GuardDuty peut fournir une surveillance en temps r\u00e9el des activit\u00e9s malveillantes, offrant ainsi une couche de protection suppl\u00e9mentaire contre les informations d’identification compromises. Envisagez d’utiliser AWS Detective pour obtenir des informations suppl\u00e9mentaires sur les r\u00e9sultats. <\/p>\nE. Utilisez AWS Config pour la surveillance de la conformit\u00e9<\/h3>\nAWS Config peut \u00eatre utilis\u00e9 pour surveiller la conformit\u00e9 aux bonnes pratiques de s\u00e9curit\u00e9, notamment l’utilisation appropri\u00e9e des strat\u00e9gies IAM et des groupes de s\u00e9curit\u00e9. Cet outil peut vous aider \u00e0 identifier les erreurs de configuration qui pourraient rendre votre compte vuln\u00e9rable aux attaques.<\/p>\nConclusion<\/h2>\nLa s\u00e9curit\u00e9 de votre environnement AWS repose sur une surveillance vigilante et une d\u00e9tection rapide des anomalies dans les journaux CloudTrail. En comprenant les mod\u00e8les typiques d’utilisation l\u00e9gitime et en \u00e9tant attentifs aux \u00e9carts par rapport \u00e0 ces mod\u00e8les, les professionnels de la s\u00e9curit\u00e9 peuvent d\u00e9tecter et r\u00e9pondre aux compromis potentiels, tels que ceux impliquant des cl\u00e9s API vol\u00e9es, avant qu’ils ne causent des dommages importants. Alors que les environnements cloud continuent d’\u00e9voluer, le maintien d’une position proactive en mati\u00e8re de s\u00e9curit\u00e9 est essentiel pour prot\u00e9ger les donn\u00e9es sensibles et garantir l’int\u00e9grit\u00e9 de votre infrastructure AWS. Si vous souhaitez en savoir plus sur ce qu’il faut rechercher dans AWS pour d\u00e9tecter des signes d’intrusion, ainsi que sur les clouds Microsoft et Google, vous pouvez envisager mon cours POUR509<\/a> courir \u00e0 Initiative de cyberd\u00e9fense SANS 2024<\/a>. Visite pour509.com<\/a> pour en savoir plus. <\/p>\n<\/p>\nVous avez trouv\u00e9 cet article int\u00e9ressant ? Cet article est une contribution de l\u2019un de nos pr\u00e9cieux partenaires.<\/span> Suivez-nous sur Gazouillement \uf099<\/i><\/a> et LinkedIn<\/a> pour lire davantage de contenu exclusif que nous publions.<\/div>\n<\/div>\n](\"https:\/\/teknomers.com\/fr\/wp-content\/uploads\/2024\/08\/Detection-de-compromission-de-compte-AWS-indicateurs-cles-dans-les.jpg\"){kind=link}
L’infrastructure cloud devenant l’\u00e9pine dorsale des entreprises modernes, il est primordial de garantir la s\u00e9curit\u00e9 de ces environnements. AWS (Amazon Web Services) \u00e9tant toujours le cloud dominant, il est important pour tout professionnel de la s\u00e9curit\u00e9 de savoir o\u00f9 chercher des signes de compromission. AWS CloudTrail se distingue comme un outil essentiel pour le suivi et la journalisation de l’activit\u00e9 des API, fournissant un enregistrement complet des actions effectu\u00e9es au sein d’un compte AWS. Consid\u00e9rez AWS CloudTrail comme un journal d’audit ou d’\u00e9v\u00e9nements pour tous les appels d’API effectu\u00e9s dans votre compte AWS. Pour les professionnels de la s\u00e9curit\u00e9, la surveillance de ces journaux est essentielle, en particulier lorsqu’il s’agit de d\u00e9tecter d’\u00e9ventuels acc\u00e8s non autoris\u00e9s, par exemple via des cl\u00e9s d’API vol\u00e9es. Ces techniques et bien d’autres, je les ai apprises au cours des incidents sur lesquels j’ai travaill\u00e9 chez AWS et que nous avons int\u00e9gr\u00e9es dans AWS CloudTrail. SANS POUR 509<\/a>Forensics dans le Cloud d’entreprise. <\/p>\n L’un des premiers signes d’une faille de s\u00e9curit\u00e9 potentielle est une augmentation inattendue des requ\u00eates API. CloudTrail enregistre chaque appel API effectu\u00e9 dans votre compte AWS, y compris la personne qui a effectu\u00e9 l’appel, la date et l’origine de l’appel. Un attaquant disposant de cl\u00e9s API vol\u00e9es peut lancer un grand nombre de requ\u00eates dans un court laps de temps, soit en sondant le compte pour obtenir des informations, soit en tentant d’exploiter certains services.<\/p>\n Que rechercher\u00a0:<\/p>\n Notez que la fonction de garde (si activ\u00e9e) signalera automatiquement ce type d’\u00e9v\u00e9nements, mais vous devez \u00eatre vigilant pour les trouver. <\/p>\n AWS recommande fortement d’\u00e9viter d’utiliser le compte root pour les op\u00e9rations quotidiennes en raison de son niveau \u00e9lev\u00e9 de privil\u00e8ges. Tout acc\u00e8s au compte root, en particulier si des cl\u00e9s API qui lui sont associ\u00e9es sont utilis\u00e9es, constitue un signal d’alarme important.<\/p>\n Que rechercher\u00a0:<\/p>\n Les attaquants peuvent cr\u00e9er de nouvelles cl\u00e9s d’acc\u00e8s pour \u00e9tablir un acc\u00e8s permanent au compte compromis. La surveillance des journaux CloudTrail pour la cr\u00e9ation de nouvelles cl\u00e9s d’acc\u00e8s est essentielle, en particulier si ces cl\u00e9s sont cr\u00e9\u00e9es pour des comptes qui n’en ont g\u00e9n\u00e9ralement pas besoin.<\/p>\n Que rechercher\u00a0:<\/p>\n AWS permet aux utilisateurs d’assumer des r\u00f4les en leur accordant des informations d’identification temporaires pour des t\u00e2ches sp\u00e9cifiques. La surveillance des mod\u00e8les d’assumation de r\u00f4les inhabituels est essentielle, car un attaquant pourrait assumer des r\u00f4les pour pivoter au sein de l’environnement.<\/p>\n Que rechercher\u00a0:<\/p>\n Amazon S3 est souvent la cible des pirates informatiques, car il peut stocker de grandes quantit\u00e9s de donn\u00e9es potentiellement sensibles. La surveillance de CloudTrail pour d\u00e9tecter les acc\u00e8s inhabituels aux compartiments S3 est essentielle pour d\u00e9tecter les cl\u00e9s API compromises.<\/p>\n Que rechercher\u00a0:<\/p>\n Un attaquant peut tenter de d\u00e9placer des donn\u00e9es hors de votre environnement AWS. Les journaux CloudTrail peuvent aider \u00e0 d\u00e9tecter de telles tentatives d’exfiltration, en particulier si les mod\u00e8les de transfert de donn\u00e9es sont inhabituels.<\/p>\n Que rechercher\u00a0:<\/p>\n Les groupes de s\u00e9curit\u00e9 contr\u00f4lent le trafic entrant et sortant vers les ressources AWS. Un attaquant peut modifier ces param\u00e8tres pour ouvrir des vecteurs d’attaque suppl\u00e9mentaires, comme l’activation de l’acc\u00e8s SSH \u00e0 partir d’adresses IP externes.<\/p>\n Que rechercher\u00a0:<\/p>\n Pour minimiser les dommages qu’un attaquant peut causer avec des cl\u00e9s API vol\u00e9es, appliquez le principe du moindre privil\u00e8ge sur votre compte AWS. Assurez-vous que les utilisateurs et les r\u00f4les IAM disposent uniquement des autorisations n\u00e9cessaires pour effectuer leurs t\u00e2ches.<\/p>\n Exigez l’authentification multifacteur pour tous les utilisateurs IAM, en particulier ceux qui disposent de privil\u00e8ges administratifs. Cela ajoute une couche de s\u00e9curit\u00e9 suppl\u00e9mentaire, ce qui rend l’acc\u00e8s plus difficile pour les attaquants, m\u00eame s’ils ont vol\u00e9 des cl\u00e9s API.<\/p>\n Proc\u00e9dez r\u00e9guli\u00e8rement \u00e0 la rotation des cl\u00e9s d’acc\u00e8s et assurez-vous qu’elles sont associ\u00e9es aux utilisateurs IAM qui en ont r\u00e9ellement besoin. En outre, v\u00e9rifiez l’utilisation des cl\u00e9s d’acc\u00e8s pour vous assurer qu’elles ne sont pas utilis\u00e9es de mani\u00e8re abusive ou \u00e0 partir d’emplacements inattendus.<\/p>\n Assurez-vous que CloudTrail est activ\u00e9 dans toutes les r\u00e9gions et que les journaux sont centralis\u00e9s pour analyse. De plus, AWS GuardDuty peut fournir une surveillance en temps r\u00e9el des activit\u00e9s malveillantes, offrant ainsi une couche de protection suppl\u00e9mentaire contre les informations d’identification compromises. Envisagez d’utiliser AWS Detective pour obtenir des informations suppl\u00e9mentaires sur les r\u00e9sultats. <\/p>\n AWS Config peut \u00eatre utilis\u00e9 pour surveiller la conformit\u00e9 aux bonnes pratiques de s\u00e9curit\u00e9, notamment l’utilisation appropri\u00e9e des strat\u00e9gies IAM et des groupes de s\u00e9curit\u00e9. Cet outil peut vous aider \u00e0 identifier les erreurs de configuration qui pourraient rendre votre compte vuln\u00e9rable aux attaques.<\/p>\n La s\u00e9curit\u00e9 de votre environnement AWS repose sur une surveillance vigilante et une d\u00e9tection rapide des anomalies dans les journaux CloudTrail. En comprenant les mod\u00e8les typiques d’utilisation l\u00e9gitime et en \u00e9tant attentifs aux \u00e9carts par rapport \u00e0 ces mod\u00e8les, les professionnels de la s\u00e9curit\u00e9 peuvent d\u00e9tecter et r\u00e9pondre aux compromis potentiels, tels que ceux impliquant des cl\u00e9s API vol\u00e9es, avant qu’ils ne causent des dommages importants. Alors que les environnements cloud continuent d’\u00e9voluer, le maintien d’une position proactive en mati\u00e8re de s\u00e9curit\u00e9 est essentiel pour prot\u00e9ger les donn\u00e9es sensibles et garantir l’int\u00e9grit\u00e9 de votre infrastructure AWS. Si vous souhaitez en savoir plus sur ce qu’il faut rechercher dans AWS pour d\u00e9tecter des signes d’intrusion, ainsi que sur les clouds Microsoft et Google, vous pouvez envisager mon cours POUR509<\/a> courir \u00e0 Initiative de cyberd\u00e9fense SANS 2024<\/a>. Visite pour509.com<\/a> pour en savoir plus. <\/p>\n <\/p>\n1. Appels d’API et mod\u00e8les d’acc\u00e8s inhabituels<\/h2>\n
A. Augmentation soudaine des demandes d’API<\/h3>\n
\n
B. Utilisation non autoris\u00e9e du compte root<\/h3>\n
\n
2. Activit\u00e9 IAM anormale<\/h2>\n
A. Cr\u00e9ation suspecte de cl\u00e9s d’acc\u00e8s<\/h3>\n
\n
C. Mod\u00e8les d’hypoth\u00e8ses de r\u00f4le<\/h3>\n
\n
3. Acc\u00e8s et d\u00e9placement anormaux des donn\u00e9es<\/h2>\n
A. Acc\u00e8s inhabituel au godet S3<\/h3>\n
\n
B. Tentatives d\u2019exfiltration de donn\u00e9es<\/h3>\n
\n
4. Modifications inattendues du groupe de s\u00e9curit\u00e9<\/h2>\n
\n
5. \u00c9tapes \u00e0 suivre pour att\u00e9nuer le risque de vol de cl\u00e9s API<\/h2>\n
A. Appliquer le principe du moindre privil\u00e8ge<\/h3>\n
B. Mettre en \u0153uvre l\u2019authentification multifacteur (MFA)<\/h3>\n
C. Effectuez r\u00e9guli\u00e8rement la rotation et l’audit des cl\u00e9s d’acc\u00e8s<\/h3>\n
D. Activer et surveiller CloudTrail et GuardDuty<\/h3>\n
E. Utilisez AWS Config pour la surveillance de la conformit\u00e9<\/h3>\n
Conclusion<\/h2>\n