Analisando Padrões de Acesso a Armazenamento em Nuvem

Quando Usar

• Ao investigar incidentes de segurança que exigem a análise de padrões de acesso a armazenamento em nuvem
• Ao criar regras de detecção ou consultas de caça a ameaças para este domínio
• Quando analistas de SOC precisam de procedimentos estruturados para este tipo de análise
• Ao validar a cobertura de monitoramento de segurança para técnicas de ataque relacionadas

Pré-requisitos

• Familiaridade com conceitos e ferramentas de segurança em nuvem
• Acesso a um ambiente de teste ou laboratório para execução segura
• Python 3.8+ com as dependências necessárias instaladas
• Autorização apropriada para quaisquer atividades de teste

Instruções

1. Instale as dependências: pip install boto3 requests
2. Consulte o CloudTrail para Eventos de Dados S3 usando AWS CLI ou boto3.
3. Crie linhas de base de acesso: volume de requisições por hora, contagem de objetos por usuário, histórico de IPs de origem.
4. Detecte anomalias:
   • Acesso fora do horário comercial (fora do horário local das 8h às 18h)
   • Downloads em massa: mais de 100 chamadas GetObject de um único principal em 1 hora
   • Novos IPs de origem não vistos nos 30 dias anteriores
   • Picos de enumeração de ListBucket (indicador de reconhecimento)
5. Gere um relatório de descobertas priorizadas.

python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json

Exemplos

Evento de Dados S3 do CloudTrail

{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
 "sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}