Microsoft Sentinel UEBA breidt AWS-detectie uit

Introductie

Microsoft breidt Microsoft Sentinel UEBA uit om AWS-dreigingsdetectie te versterken met rijkere gedragsanalyses. Voor security operations-teams die hybride en multi-cloudomgevingen beheren, is dit belangrijk omdat AWS CloudTrail-gebeurtenissen nu met ingebouwde context binnenkomen die onderzoeken kan versnellen en de detectiekwaliteit kan verbeteren.

In plaats van te vertrouwen op complexe KQL-query's, statische drempelwaarden of handmatig onderhouden baselines, kunnen verdedigers vooraf berekende UEBA-inzichten gebruiken om verdacht gedrag in AWS-activiteit sneller te identificeren.

Wat is er nieuw in Microsoft Sentinel UEBA voor AWS

Microsoft heeft bredere UEBA-ondersteuning toegevoegd voor multi-cloud- en identiteitsgegevensbronnen, waaronder AWS, GCP, Okta en meer verificatielogs. Specifiek voor AWS omvatten de belangrijkste verbeteringen:

• Meer AWS-gedragsverrijkingen voor CloudTrail-gebeurtenissen tijdens ingestie
• Binaire inzichten zoals:
  • Geografie voor de eerste keer
  • Ongebruikelijke ISP
  • Afwijkende actie
  • Abnormaal aantal bewerkingen
• BehaviorAnalytics-tabel-ondersteuning voor AWS-activiteit, met inzichten voor gebruikers, apparaten en activiteit
• Anomalies-tabel met zes ingebouwde AWS-anomaliedetecties uit de machine learning-modellen van Microsoft
• Defender portal-integratie voor het tonen van UEBA-anomalieën op gebruikersentiteitspagina's en in incidentgrafieken

Microsoft noemt deze aanpak binary feature stacking, waarbij analisten eenvoudige true/false-gedragsindicatoren combineren om snel aanvallersactiviteit te herkennen die anders in normale AWS-bewerkingen zou kunnen opgaan.

Waarom dit belangrijk is voor securityteams

AWS-onderzoeken zijn vaak afhankelijk van onbewerkte CloudTrail-logs en aangepaste logica om te bepalen of gedrag daadwerkelijk verdacht is. Dat proces kan tijdrovend en kostbaar zijn, vooral in snel veranderende cloudomgevingen.

Met Sentinel UEBA krijgen beheerders en analisten:

• Snellere triage van AWS-waarschuwingen
• Minder afhankelijkheid van handmatig ontworpen KQL-baselines
• Betere context voor zowel menselijke als niet-menselijke identiteiten
• Consistentere anomaliedetectie in hybride en multi-cloudomgevingen

De update is vooral nuttig voor SOC-teams die alert fatigue willen verminderen en tegelijk de zichtbaarheid willen verbeteren in risicovolle AWS-acties, zoals ongebruikelijke aanmeldingen, IAM-privilegewijzigingen of niet eerder geziene user agents.

Belangrijke implementatiedetails

De AWS-gedragscontext verschijnt in twee hoofdtabellen:

BehaviorAnalytics

Dit is het belangrijkste onderzoeksoppervlak voor met UEBA verrijkte AWS-activiteit. Het bevat velden zoals EventSource, ActivityType en ActionType, plus dynamische inzichtvelden zoals UserInsights, DeviceInsights en ActivityInsights.

Anomalies

Deze tabel bevat de vooraf getrainde anomaliedetecties van Microsoft voor AWS. Records bevatten:

• MITRE ATT&CK-toewijzingen
• AnomalyScore
• AnomalyReasons
• Gerelateerde gedragsverrijkingen

Wat IT- en securitybeheerders nu moeten doen

• Controleer huidige AWS CloudTrail-detecties in Sentinel
• Identificeer analyseregels die afhankelijk zijn van zware baselinelogica
• Test UEBA-verrijkingen in de tabellen BehaviorAnalytics en Anomalies
• Gebruik hunting-workflows in Defender portal om gebruikersanomalieën sneller te onderzoeken
• Werk SOC-playbooks bij om gebruik te maken van vooraf berekende AWS-gedragscontext

Voor organisaties die AWS naast Microsoft-omgevingen beveiligen, kan deze update detectie-engineering vereenvoudigen en de efficiëntie van respons verbeteren.