Microsoft Sentinel UEBA udvider AWS-detektion

Introduktion

Microsoft udvider Microsoft Sentinel UEBA for at styrke AWS-trusselsdetektion med mere avanceret adfærdsanalyse. For security operations-teams, der administrerer hybride miljøer og multi-cloud-miljøer, er dette vigtigt, fordi AWS CloudTrail-hændelser nu kommer med indbygget kontekst, som kan fremskynde undersøgelser og forbedre kvaliteten af detektionen.

I stedet for at være afhængige af komplekse KQL-forespørgsler, statiske tærskler eller manuelt vedligeholdte baselines kan forsvarsteams bruge forudberegnede UEBA-indsigter til hurtigere at identificere mistænkelig adfærd i AWS-aktivitet.

Hvad er nyt i Microsoft Sentinel UEBA til AWS

Microsoft har tilføjet bredere UEBA-understøttelse på tværs af multi-cloud- og identitetsdatakilder, herunder AWS, GCP, Okta og flere godkendelseslogge. Specifikt for AWS omfatter de vigtigste forbedringer:

• Flere AWS-adfærdsberigelser for CloudTrail-hændelser ved indtagelse
• Binære indsigter såsom:
  • Førstegangsgeografi
  • Usædvanlig ISP
  • Usædvanlig handling
  • Unormal mængde af operationer
• Understøttelse af BehaviorAnalytics-tabellen for AWS-aktivitet, som viser indsigter om bruger, enhed og aktivitet
• Anomalies-tabellen med seks indbyggede AWS-anomalidetektioner fra Microsofts machine learning-modeller
• Defender portal-integration til at vise UEBA-anomalier på brugerenhedssider og i hændelsesgrafer

Microsoft omtaler denne tilgang som binary feature stacking, hvor analytikere kombinerer simple sand/falsk-baserede adfærdsindikatorer for hurtigt at opdage angriberaktivitet, som ellers kunne falde i ét med normale AWS-operationer.

Hvorfor dette er vigtigt for sikkerhedsteams

AWS-undersøgelser afhænger ofte af rå CloudTrail-logge og brugerdefineret logik for at afgøre, om adfærd faktisk er mistænkelig. Den proces kan være tidskrævende og dyr, især i cloud-miljøer, der ændrer sig hurtigt.

Med Sentinel UEBA får administratorer og analytikere:

• Hurtigere triagering af AWS-advarsler
• Mindre afhængighed af manuelt udviklede KQL-baselines
• Bedre kontekst for både menneskelige og ikke-menneskelige identiteter
• Mere ensartet anomalidetektion på tværs af hybride miljøer og multi-cloud-miljøer

Opdateringen er især nyttig for SOC-teams, der vil reducere alert fatigue og samtidig forbedre synligheden i risikable AWS-handlinger som usædvanlige logons, ændringer i IAM-privilegier eller tidligere usete user agents.

Vigtige implementeringsdetaljer

AWS-adfærdskonteksten vises i to primære tabeller:

BehaviorAnalytics

Dette er den primære undersøgelsesflade for UEBA-beriget AWS-aktivitet. Den omfatter felter som EventSource, ActivityType og ActionType samt dynamiske indsigtfelter som UserInsights, DeviceInsights og ActivityInsights.

Anomalies

Denne tabel indeholder Microsofts fortrænede anomalidetektioner til AWS. Poster omfatter:

• MITRE ATT&CK-mappinger
• AnomalyScore
• AnomalyReasons
• Relaterede adfærdsberigelser

Hvad IT- og sikkerhedsadministratorer bør gøre nu

• Gennemgå nuværende AWS CloudTrail-detektioner i Sentinel
• Identificer analytics-regler, der er afhængige af tung baseline-logik
• Test UEBA-berigelser i tabellerne BehaviorAnalytics og Anomalies
• Brug hunting-workflows i Defender portal til hurtigere at undersøge brugeranomalier
• Opdater SOC-playbooks, så de udnytter den forudberegnede AWS-adfærdskontekst

For organisationer, der sikrer AWS sammen med Microsoft-miljøer, kan denne opdatering forenkle detection engineering og forbedre effektiviteten i responsen.