DIAL

---

Cargas de trabalho na nuvem oferecem oportunidades iguais para hackers tanto quanto para equipes internas. Empresas nativas da nuvem estão abertas a ataques tanto de forças externas quanto internas. Com o risco sempre crescente de violações de segurança e a má configuração da nuvem sendo um dos fatores mais comuns, o tempo médio para detecção deve ser reduzido a segundos em vez de minutos/horas/dias. Portanto, apresentamos nossa ferramenta interna DIAL(Did I Alert Lambda?) que nos ajuda a monitorar qualquer número de contas AWS em qualquer período de tempo.

O que é DIAL?

---

DIAL(Did I Alert Lambda?) é uma estrutura centralizada de detecção de má configuração de segurança executada inteiramente em serviços gerenciados da AWS, como AWS API Gateway, AWS Event Bridge e AWS Lambda. Alguns dos principais recursos do DIAL incluem.

• É uma estrutura orientada a eventos, devido à qual o tempo máximo de detecção para qualquer má configuração é < 7 segundos. MTTD(Mean Time to Detect) < 4 segs.
• Será acionado apenas quando eventos de interesse forem gerados.
• Altamente escalável e econômico, pois é construído sobre AWS Lambda e é acionado quando eventos de interesse são vistos.
• Arquitetura modular; O que significa que você pode facilmente adicionar mais manipuladores de eventos e casos de uso de acordo com suas necessidades.

Para saber mais, você pode consultar o seguinte blog técnico.

Você receberá alertas acionáveis conforme mostrado abaixo com todos os detalhes relevantes:

Arquitetura

---

A arquitetura é dividida em dois componentes diferentes:

• Controlador Pai
• Controlador Filho

Controlador Filho; O controlador filho atua como um manipulador de eventos, que precisa ser implantado em todas as contas/regiões onde você deseja o framework de detecção, conectado ao Event Bridge como um gatilho que, por sua vez, aciona o Controlador Filho quando algum evento de interesse acontece. Este controlador também é responsável por enviar alertas para o canal SLACK configurado pelo usuário, juntamente com a gravidade definida no arquivo de configuração. Ele então encaminha todo o objeto de resposta para o Controlador Pai para processamento e armazenamento adicionais.

Controlador Pai; O framework do DIAL precisa apenas de um Controlador Pai que atua como agregador para seu SIEM, IR e armazenamento persistente de alertas. O Controlador Pai funciona junto com o API Gateway, que está conectado a uma AWS Lambda no backend, cujo único propósito é coletar dados. A solicitação para o API Gateway deve ser Autenticada, o que é novamente configurável de acordo com as necessidades do usuário final.

Nota: Aqui usamos o projeto TheHive como uma ferramenta de RI (Resposta a Incidentes) de código aberto para ingerir dados; você pode simplesmente alterar a função no Controlador Pai para enviar o objeto de resposta para qualquer ferramenta SIEM/RI de sua escolha, apenas certifique-se de alterar os parâmetros necessários que precisam ser adicionados a ela.

Serviços cobertos:

---

• EC2
• S3
• IAM
• Security Group
• GuardDuty
• VPC
• RDS
• DynamoDB
• Secret Manager
• Parameter Store(System Manager)

Casos de uso cobertos

---

Estamos lançando atualmente o módulo de detecção do DIAL, que ajudará você a detectar quaisquer má configurações. Planejamos lançar o módulo de remediação em um futuro próximo. A seguir estão os casos de uso de detecção que o DIAL atualmente é capaz de detectar e alertar.

• IAM

  • Qualquer escalonamento de privilégios via “CreatePolicy/AttachPolicy/CreatePolicyVersion”
  • Chaves de acesso inativas tornadas públicas
  • Política de administrador anexada a qualquer usuário/papel
  • Login no Console por qualquer usuário
  • MFA excluído/removido

• S3

  • Bucket S3 tornado público
  • Objeto S3 tornado público
  • Política de bucket S3 mal configurada
  • ACL mal configurada para bucket/objeto

• EC2

  • Conexão de pareamento VPC para conta desconhecida
  • Grupos de segurança permissivos (acesso 0.0.0.0/0 em portas)
  • Associar sub-rede privada com tabela de rota pública
  • Criação de tipo de instância irrealista (p4d.24xlarge etc)

• Secret Manager/SSM Parameter Store

  • Parâmetros secretos críticos chamados por qual usuário
  • Qualquer exclusão de parâmetros secretos

• Banco de dados (RDS/DynamoDB)

  • Criação de snapshot de bancos de dados disponíveis
  • Modificação de banco de dados para torná-los públicos
  • Criação de banco de dados com acesso público True

• GuardDuty

  • Descobertas do GuardDuty

Instalação e Implantação

---

Consulte o seguinte arquivo