Detectando Tentativas de Exfiltração de Dados do S3

Quando Usar

• Quando o GuardDuty detectar padrões anômalos de acesso ao S3, como downloads em massa de IPs incomuns.
• Ao investigar um possível vazamento de dados envolvendo dados sensíveis armazenados no S3.
• Ao criar regras de detecção para monitoramento de prevenção de perda de dados do S3.
• Ao responder a alertas do Macie sobre acesso ou movimentação de dados sensíveis.
• Quando a conformidade exigir o monitoramento e registro de todo o acesso a repositórios de dados classificados.

Não use para prevenir exfiltração de dados (use políticas de bucket S3, endpoints VPC e SCPs), para classificação de dados (use trabalhos de descoberta do Amazon Macie) ou para detecção de exfiltração em nível de rede (use VPC Flow Logs com ferramentas de análise de rede).

Pré-requisitos

• CloudTrail configurado com registro de eventos de dados do S3 (GetObject, PutObject, CopyObject)
• GuardDuty habilitado com o recurso de Proteção S3 ativado
• Amazon Macie habilitado para descoberta de dados sensíveis nos buckets de destino
• CloudWatch Logs ou Athena para consultar logs do CloudTrail em escala
• Políticas de endpoint VPC configuradas para monitoramento de acesso ao S3

Fluxo de Trabalho

Etapa 1: Habilitar Registro de Eventos de Dados do S3 no CloudTrail

Configure o CloudTrail para capturar todas as operações em nível de objeto do S3 para análise forense.

# Enable S3 data events on an existing trail
aws cloudtrail put-event-selectors \
  --trail-name management-trail \
  --event-selectors '[{
    "ReadWriteType": "All",
    "IncludeManagementEvents": true,
    "DataResources": [{
      "Type": "AWS::S3::Object",
      "Values": ["arn:aws:s3:::sensitive-data-bucket/", "arn:aws:s3:::customer-records/"]
    }]
  }]'

# Verify data event configuration
aws cloudtrail get-event-selectors --trail-name management-trail \
  --query 'EventSelectors[*].DataResources' --output json

# Enable GuardDuty S3 Protection
aws guardduty update-detector \
  --detector-id $(aws guardduty list-detectors --query 'DetectorIds[0]' --output text) \
  --data-sources '{"S3Logs":{"Enable":true}}'

Etapa 2: Consultar o CloudTrail para Padrões Anômalos de Acesso ao S3

Analise os logs do CloudTrail em busca de atividades de download em massa, horários de acesso incomuns e IPs de origem desconhecidos.

# Athena query: Top S3 downloaders by volume in last 24 hours
cat << 'EOF'
SELECT
  useridentity.arn as principal,
  sourceipaddress,
  COUNT(*) as request_count,
  SUM(CAST(json_extract_scalar(requestparameters, '$.bytesTransferredOut') AS bigint)) as bytes_downloaded
FROM cloudtrail_logs
WHERE eventname = 'GetObject'
  AND eventsource = 's3.amazonaws.com'
  AND eventtime > date_add('hour', -24, now())
GROUP BY useridentity.arn, sourceipaddress
ORDER BY request_count DESC
LIMIT 50
EOF

# CloudWatch Logs Insights: S3 GetObject requests from unusual IPs
aws logs start-query \
  --log-group-name cloudtrail-logs \
  --start-time $(date -d "24 hours ago" +%s) \
  --end-time $(date +%s) \
  --query-string '
    fields @timestamp, userIdentity.arn, sourceIPAddress, requestParameters.bucketName, requestParameters.key
    | filter eventName = "GetObject"
    | stats count() as requestCount by sourceIPAddress, userIdentity.arn
    | sort requestCount desc
    | limit 25
  '

# Detect cross-account copies (potential exfiltration)
aws logs start-query \
  --log-group-name cloudtrail-logs \
  --start-time $(date -d "7 days ago" +%s) \
  --end-time $(date +%s) \
  --query-string '
    fields @timestamp, userIdentity.arn, sourceIPAddress, requestParameters.bucketName
    | filter eventName in ["CopyObject", "ReplicateObject", "UploadPart"]
    | filter userIdentity.accountId != "OUR_ACCOUNT_ID"
    | sort @timestamp desc
    | limit 100
  '

Etapa 3: Revisar Descobertas S3 do GuardDuty

Verifique os tipos de descoberta específicos do S3 do GuardDuty que indicam atividade de exfiltração.

# Listar descobertas ativas relacionadas à exfiltração de S3
aws guardduty list-findings \
  --detector-id $(aws guardduty list-detectors --query 'DetectorIds[0]' --output text) \
  --finding-criteria '{
    "Criterion": {
      "type": {
        "Eq": [
          "Exfiltration:S3/MaliciousIPCaller",
          "Exfiltration:S3/ObjectRead.Unusual",
          "Discovery:S3/MaliciousIPCaller.Custom",
          "Discovery:S3/BucketEnumeration.Unusual",
          "UnauthorizedAccess:S3/MaliciousIPCaller.Custom",
          "UnauthorizedAccess:S3/TorIPCaller",
          "Impact:S3/AnomalousBehavior.Delete"
        ]
      }
    }
  }' --output json

# Obter informações detalhadas da descoberta
aws guardduty get-findings \

…