Detecção de Credenciais de Nuvem Comprometidas

Quando Usar

• Ao investigar alertas sobre atividade incomum de API na nuvem de locais desconhecidos
• Ao criar regras de detecção para roubo e abuso de credenciais em ambientes de nuvem
• Ao responder a notificações de provedores de nuvem sobre credenciais expostas
• Ao monitorar ataques de "credential stuffing" ou força bruta contra identidades na nuvem
• Ao avaliar o escopo de um comprometimento de credenciais após a detecção inicial

Não use para prevenir o comprometimento de credenciais (use MFA, rotação de credenciais e gerenciamento de segredos), para detectar roubo de credenciais em nível de aplicativo (use monitoramento de segurança de aplicativos) ou para detecção de coleta de credenciais em endpoints (use ferramentas EDR).

Pré-requisitos

• AWS GuardDuty habilitado em todas as contas e regiões
• Azure Defender for Identity e Entra ID Protection configurados
• GCP Security Command Center com Event Threat Detection habilitado
• CloudTrail, Azure Activity Log e GCP Audit Log centralizados para análise
• Integração SIEM para correlação entre nuvens de indicadores de abuso de credenciais
• Feeds de inteligência de ameaças para faixas de IP maliciosas conhecidas

Fluxo de Trabalho

Etapa 1: Detectar Indicadores de Comprometimento de Credenciais na AWS

Monitore descobertas do GuardDuty e anomalias do CloudTrail que indiquem abuso de credenciais.

# List GuardDuty credential-related findings
aws guardduty list-findings \
  --detector-id $(aws guardduty list-detectors --query 'DetectorIds[0]' --output text) \
  --finding-criteria '{
    "Criterion": {
      "type": {
        "Eq": [
          "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration.OutsideAWS",
          "UnauthorizedAccess:IAMUser/MaliciousIPCaller",
          "UnauthorizedAccess:IAMUser/MaliciousIPCaller.Custom",
          "UnauthorizedAccess:IAMUser/TorIPCaller",
          "UnauthorizedAccess:IAMUser/ConsoleLoginSuccess.B",
          "Recon:IAMUser/MaliciousIPCaller",
          "Recon:IAMUser/MaliciousIPCaller.Custom",
          "InitialAccess:IAMUser/AnomalousBehavior",
          "CredentialAccess:IAMUser/AnomalousBehavior",
          "Persistence:IAMUser/AnomalousBehavior"
        ]
      },
      "service.archived": {"Eq": ["false"]}
    }
  }' --output json

# Check for console logins from new locations
aws logs start-query \
  --log-group-name cloudtrail-logs \
  --start-time $(date -d "7 days ago" +%s) \
  --end-time $(date +%s) \
  --query-string '
    fields @timestamp, userIdentity.userName, sourceIPAddress, responseElements.ConsoleLogin
    | filter eventName = "ConsoleLogin"
    | filter responseElements.ConsoleLogin = "Success"
    | stats count() by userIdentity.userName, sourceIPAddress
    | sort count desc
  '

# Detect impossible travel (same user from geographically distant IPs within short time)
aws logs start-query \
  --log-group-name cloudtrail-logs \
  --start-time $(date -d "24 hours ago" +%s) \
  --end-time $(date +%s) \
  --query-string '
    fields @timestamp, userIdentity.arn, sourceIPAddress, eventName
    | filter userIdentity.type = "IAMUser"
    | stats earliest(@timestamp) as first_seen, latest(@timestamp) as last_seen,
            count_distinct(sourceIPAddress) as unique_ips by userIdentity.arn
    | filter unique_ips > 3
  '

Etapa 2: Detectar Abuso de Credenciais no Azure

Monitore logs de entrada do Entra ID e alertas do Defender for Identity para credenciais comprometidas.

# Verificar sign-ins arriscados
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$filter=riskLevelDuringSignIn ne 'none' and createdDateTime ge 2026-02-16T00:00:00Z&\$top=50" \
  --query "value[*].{User:userPrincipalName,Risk:riskLevelDuringSignIn,IP:ipAddress,Location:location.city,App:appDisplayName,Status:status.errorCode}" \
  -o table

# Verificar sign-ins de IPs anônimos ou Tor
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/auditLogs/signIns?\$filter=riskEventTypes_v2/any(r:r eq 'anonymizedIPAddress') and createdDateTime ge 2026-02-22T00:00:00Z" \
  --query "value[*].{User:userPrincipalName,IP:ipAddress,Location:location.city}" \
  -o table

# Listar usuários sinalizados como comprometidos pelo Identity Protection
az rest --method GET \
  --url "https://graph.microsoft.com/v1.0/identityProtection/riskyUsers?\$filter=riskLevel eq 'high'" \
  --query "value[*].{User:userPrincipalName,RiskLevel:riskLevel,RiskState:riskState,LastDetected:riskLastUpdatedDateTime}" \
  -o table

# Verificar concessões suspeitas de consentimento de aplicativo

…