Microsoft Sentinel UEBA : détection AWS enrichie

Introduction

Microsoft étend Microsoft Sentinel UEBA pour renforcer la détection des menaces AWS grâce à des analyses comportementales plus riches. Pour les équipes des opérations de sécurité qui gèrent des environnements hybrides et multi-cloud, cela compte, car les événements AWS CloudTrail arrivent désormais avec un contexte intégré capable d’accélérer les investigations et d’améliorer la qualité de détection.

Au lieu de s’appuyer sur des requêtes KQL complexes, des seuils statiques ou des lignes de base maintenues manuellement, les défenseurs peuvent utiliser des informations UEBA précalculées pour identifier plus rapidement les comportements suspects dans l’activité AWS.

Nouveautés de Microsoft Sentinel UEBA pour AWS

Microsoft a élargi la prise en charge UEBA à davantage de sources de données multi-cloud et d’identité, notamment AWS, GCP, Okta et d’autres journaux d’authentification. Pour AWS plus précisément, les principales améliorations incluent :

• Davantage d’enrichissements comportementaux AWS pour les événements CloudTrail au moment de l’ingestion
• Informations binaires telles que :
  • Première géographie observée
  • ISP inhabituel
  • Action inhabituelle
  • Volume d’opérations anormal
• Prise en charge de la table BehaviorAnalytics pour l’activité AWS, avec exposition d’informations sur l’utilisateur, l’appareil et l’activité
• Table Anomalies avec six détections d’anomalies AWS intégrées issues des modèles de machine learning de Microsoft
• Intégration au portail Defender pour afficher les anomalies UEBA dans les pages d’entité utilisateur et les graphes d’incident

Microsoft désigne cette approche comme le binary feature stacking, où les analystes combinent de simples indicateurs comportementaux vrai/faux pour repérer rapidement une activité d’attaquant qui pourrait autrement se fondre dans les opérations AWS normales.

Pourquoi c’est important pour les équipes de sécurité

Les investigations AWS dépendent souvent de journaux CloudTrail bruts et d’une logique personnalisée pour déterminer si un comportement est réellement suspect. Ce processus peut être long et coûteux, en particulier dans des environnements cloud qui évoluent rapidement.

Avec Sentinel UEBA, les administrateurs et les analystes bénéficient de :

• Une qualification plus rapide des alertes AWS
• Une dépendance réduite aux lignes de base KQL conçues manuellement
• Un meilleur contexte pour les identités humaines et non humaines
• Une détection d’anomalies plus cohérente dans les environnements hybrides et multi-cloud

Cette mise à jour est particulièrement utile pour les équipes SOC qui veulent réduire la fatigue liée aux alertes tout en améliorant la visibilité sur les actions AWS à risque, comme des connexions inhabituelles, des changements de privilèges IAM ou des user agents jamais vus auparavant.

Détails clés de mise en œuvre

Le contexte comportemental AWS apparaît dans deux tables principales :

BehaviorAnalytics

Il s’agit de la principale surface d’investigation pour l’activité AWS enrichie par UEBA. Elle comprend des champs tels que EventSource, ActivityType et ActionType, ainsi que des champs d’informations dynamiques comme UserInsights, DeviceInsights et ActivityInsights.

Anomalies

Cette table contient les détections d’anomalies AWS préentraînées de Microsoft. Les enregistrements incluent :

• Mappages MITRE ATT&CK
• AnomalyScore
• AnomalyReasons
• Enrichissements comportementaux associés

Ce que les administrateurs IT et sécurité doivent faire ensuite

• Examiner les détections AWS CloudTrail actuelles dans Sentinel
• Identifier les règles d’analyse qui reposent sur une logique de ligne de base lourde
• Tester les enrichissements UEBA dans les tables BehaviorAnalytics et Anomalies
• Utiliser les workflows de hunting du portail Defender pour investiguer plus rapidement les anomalies utilisateur
• Mettre à jour les playbooks SOC pour tirer parti du contexte comportemental AWS précalculé

Pour les organisations qui sécurisent AWS aux côtés des environnements Microsoft, cette mise à jour peut simplifier l’ingénierie de détection et améliorer l’efficacité de la réponse.