Xin chào mọi người!

Đây là Kawasugi, phụ trách buổi thứ 3 Tiếp tục từ phần đầu tiên, chúng tôi tập trung vào khả năng phát hiện mối đe dọa của Sysdig

Tính năng phát hiện mối đe dọa của Sysdig có hình ảnh rõ ràng về Falco, đến mức người ta thường nói rằng ``Sysdig là Falco'', nhưng thực tế nó cung cấp các chức năng mạnh mẽ khác Lần này tôi xin giới thiệu khả năng phát hiện mối đe dọa của Sysdig, khả năng này không chỉ giới hạn ở Falco Chúng ta hãy xem xét!

Sysdig có nhiều chức năng phát hiện mối đe dọa khác nhau

tỷ lệ kèo cá cược bóng đá cung cấp hỗ trợ kèm theo để giúp khách hàng cài đặt và vận hành Sysdig và chúng tôi thường có cơ hội trò chuyện với những khách hàng cài đặt Sysdig lần đầu tiên Một số khách hàng quyết định sử dụng Sysdig vì họ bị thu hút bởi nó là phiên bản thương mại của công cụ phát hiện mạnh mẽ có tên Falco Khi chúng tôi giải thích các chức năng phát hiện mối đe dọa khác nhau cho những khách hàng như vậy, họ thường ngạc nhiên và nói: ``Vậy là chúng tôi có những chức năng như vậy!'' Trong khi tôi rất vui vì đã giải thích điều này khi nhận được phản hồi như vậy, tôi cũng cảm thấy buồn vì các chức năng được phát triển để bổ sung cho Falco không được công nhận Lần này, hãy tập trung vào những anh hùng vô danh này

Falco xác định hành vi cần phát hiện dựa trên các quy tắc, do đó, nó có mức độ tự do rất cao trong định nghĩaCó thể ứng phó với nhiều mối đe dọa khác nhauMặt khácTrường hợp cần có hành vi + cách tiếp cận α tùy thuộc vào phương thức tấn côngcũng tồn tại Sau đây là các tính năng được Sysdig phát triển để ứng phó với các cuộc tấn công như vậy

Phát hiện bất thường khi đăng nhập AWS (phát hiện giả mạo)

Sử dụng máy họcĐã phát hiện hoạt động đăng nhập của người dùng khác với thời gian bình thườngTôi sẽ

Phát hiện vùng chứa khai thác tiền điện tử

Bằng học máyĐã phát hiện vùng chứa bị nghi ngờ là công cụ khai thác tiền điện tửTôi sẽ

Phát hiện container trôi dạt

Tận dụng tính chất bất biến của vùng chứa trong môi trường sản xuấtPhát hiện và ngăn chặn khi một hệ thống tệp không nên thay đổi đã bị thay đổi và thực thi

Phát hiện phần mềm độc hại

Khớp giá trị băm của tệp nhị phân với giá trị băm của phần mềm độc hại đã biết,Phát hiện và ngăn chặn việc thực thi các tệp nhị phân được xác định là phần mềm độc hại

Lần nàyPhát hiện sự bất thường khi đăng nhập AWS (phát hiện giả mạo)

Phát hiện bất thường khi đăng nhập AWS là gì?

Chức năng này dành cho mỗi người dùngMachine learning về thông tin đăng nhập vào Bảng điều khiển web AWS (vùng địa chỉ IP, hệ điều hành, trình duyệt, vv) để phát hiện những lần đăng nhập đáng ngờ từ môi trường bất thườngCác điểm chính của bảo mật không tin cậylà một trongTruy cập trái phép do mạo danh người dùngĐây là một tính năng hay phù hợp với các biện pháp đối phó!

Chuẩn bị trước

Bây giờ, hãy bắt đầu chuẩn bị xác minh

Các mục sau đây phải được chuẩn bị trước cho việc xác minh này

1 Liên kết tài khoản AWS của bạn và Sysdig bên dưới (phương pháp cài đặt có trong URL)

2 Tạo một phiên bản EC2 (máy chủ Windows) có địa chỉ IP toàn cầu bên ngoài Nhật Bản (trong blog này, hãy tạo nó ở khu vực us-east-1)

*Lần này chúng tôi đã thử nghiệm trên phiên bản EC2, nhưng bất kỳ máy chủ nào có địa chỉ IP chung ở khu vực mà bạn thường không truy cập vào bảng điều khiển AWS sẽ hoạt động

Hãy xác minh

Trước tiên, hãy tạo chính sách xác thực

Lần này, chọn "AWS ML" trên màn hình tạo Chính sách thời gian chạy

Bạn sẽ được chuyển hướng đến màn hình tạo chính sách, vì vậy chỉ cần nhập bất kỳ tên nào vào Tên, bật nút chuyển đổi Đăng nhập bảng điều khiển bất thường và nhấn "Lưu"

Bạn có thể tạo chính sách rất dễ dàng mà không cần bất kỳ cài đặt phức tạp nào

Bây giờ chúng ta hãy thử xem

Trước tiên, hãy đăng nhập vào Bảng điều khiển web AWS từ phiên bản EC2 (máy chủ Windows) mà chúng tôi đã chuẩn bị Máy chủ này được xây dựng trên vùng khả dụng us-east-1a

Khi bạn kiểm tra màn hình GUI Sysdig sau khi đăng nhập vào AWS, chính sách bạn đã tạo trước đó sẽ hiển thị trong sự kiện bảo mật

Chúng ta hãy xem chi tiết phát hiện chi tiết

Xác suất bất thường về vị trívàXác suất bất thường của trình duyệtđược hiển thị là 100% Điều này phát hiện rằng hai phần thông tin sau đây khác với thông tin đăng nhập thông thường

Xác suất bất thường về vị trí：Đăng nhập từ khu vực khác với bình thường

Xác suất bất thường của trình duyệt：Đăng nhập từ trình duyệt khác với trình duyệt thông thường Trong lần xác minh này, lỗi được phát hiện do người dùng thường sử dụng Google Chrome đã đăng nhập với Microsoft Edge

ID sự kiện AWS cũng được hiển thị nên bạn có thể kiểm tra thông tin đăng nhập chi tiết trên Cloud Trail

Nếu thực sự kiểm tra nhật ký Cloud Trail, bạn cũng có thể xác định địa chỉ IP mà bạn đã đăng nhập

Ngoài ra, có thể phát hiện các lần đăng nhập bất thường sau đây

Xác suất bất thường của hệ điều hành：Đăng nhập từ hệ điều hành khác với hệ điều hành thông thường

Xác suất bất thường của thiết bị：Đăng nhập từ một thiết bị khác với thiết bị thông thường

Vì có thể phát hiện các điểm bất thường bằng cách tập trung vào các yếu tố bị nghi ngờ là mạo danh nên các cuộc điều tra tiếp theo có thể được thực hiện nhanh chóng

Cuối cùng

Mọi người thấy thế nào? Một từ nóng gần đâyBảo mật không tin cậyNhưngTruy cập trái phép thông qua giả mạo là một mối đe dọa nghiêm trọngAWS có thể được truy cập từ khắp nơi trên thế giới, vì vậy một khi thông tin người dùng bị rò rỉ, sẽ không biết thông tin đó sẽ bị nhắm mục tiêu khi nào và ở đâu Các biện pháp đối phó là cần thiết vì có những mô hình có thể dẫn đến rò rỉ thông tin bí mật do mạo danh người dùng AWS

Trong blog này từ lần sau trở đi, tôi muốn thảo luận về bảo mật và giám sát, tập trung vào Sysdig, container và Kubernetes

Hẹn gặp lại lần sau!

*Bạn có thể tìm thấy thông tin chi tiết về các chức năng được giới thiệu lần này tại URL bên dưới

Giới thiệu người phụ trách

Người phụ trách

Kawasugi

Bình luận

Trong khoảng ba năm nay, tôi đã làm việc trong lĩnh vực container/Kubernetes, chủ yếu sử dụng Sysdig Chúng tôi cũng đang tích cực tiến hành các hoạt động giáo dục về công nghệ container trong công ty của mình

Trình độ chuyên môn

Quản trị viên Kubernetes được chứng nhận
Chuyên gia bảo mật Kubernetes được chứng nhận