Threat Stack은 이제 F5 Distributed Cloud App Infrastructure Protection (AIP)입니다. 오늘부터 팀과 함께 분산 클라우드 AIP를 사용해 보세요.
Threat Stack에서는 매일 고객을 위해 수천억 건의 이벤트를 처리합니다. 그렇게 많은 양의 데이터에 대한 통찰력을 통해 AWS 서비스 사용에서 의미 있는 추세를 파악할 수 있는 고유한 관점을 얻을 수 있습니다. 우리가 최근에 관찰한 두 가지 추세는 Amazon Elastic Container Registry(ECR) 와 AWS Systems Manager 사용 증가입니다. 고객이 이러한 서비스를 안전하게 사용할 수 있도록 Threat Stack에 ECR 및 Systems Manager에 대한 기본 알림 규칙을 추가했습니다. 새로운 규칙과 그 필터를 살펴보겠습니다.
여러분은 모두 컨테이너 레지스트리가 무엇인지 알고 계실 겁니다. 하지만 Amazon ECR의 장점은 Amazon Elastic Container Service(ECS) 와 매우 잘 통합되어 있다는 것입니다. 물론 Threat Stack은 이미 런타임에 Amazon Linux 2 및 Docker의 세부적인 정보를 ECS 환경에 적용하고 있습니다 . 이제 ECR 내에서 정적 Docker 이미지가 어떻게 소싱되는지에 대한 보안 관찰 기능을 더 강화할 수 있습니다.
Threat Stack의 새로운 CloudTrail ECR 규칙에 기본적으로 포함된 내용은 다음과 같습니다.
특히 CloudTrail 규칙을 살펴보겠습니다. ECR 이미지 스캔 결과 – 심각도 높음.
그림 1 : CloudTrail의 Threat Stack Rules UI 스크린샷: 전자문서
여기의 필터 구문은 가장 흥미로운 부분이므로 자세히 살펴보겠습니다.
event_type = "cloudtrail" 및 eventSource = "ecr.amazonaws.com" 및 eventName = "DescribeImageScanFindings" 및 responseElements.imageScanFindings.findingSeverityCounts.HIGH > 0
ECR 이미지 검사 결과에 대한 CloudTrail 이벤트 JSON에는 잠재적으로 긴 CVE 목록이 포함될 수 있으므로, 집계된 findingSeverityCounts
객체를 사용하여 빠르게 살펴봅니다. 그런 다음 AWS 설명서에 따라 Amazon ECR 콘솔이나 AWS CLI를 통해 스캔의 전체 결과에 액세스하세요 .
Threat Stack의 목표는 가능한 한 빨리 알림을 보내는 것입니다. 하지만 심각도 설정을 수정하고 규칙 필터를 사용자 정의하는 것은 자유롭습니다. (위에서 사용된 위협 스택 쿼리 언어에 대한 자세한 내용은 문서를 참조하세요 .)
AWS Systems Manager는 다양한 기능을 갖춘 강력한 자동화 도구입니다. 이러한 기능 중 두 가지( AWS Systems Manager Session Manager 와 AWS Systems Manager Run Command )는 감사 목적으로 특히 흥미롭습니다.
그림 2: CloudTrail의 Threat Stack Rules UI 스크린샷: 사회복지법인
Threat Stack의 새로운 CloudTrail Systems Manager 규칙에 기본적으로 포함된 내용은 다음과 같습니다.
모든 부문에서 Sev 3 기본값이 적용되므로 이러한 알림은 주로 감사 목적으로 사용될 것으로 예상하지만 항상 사용자의 요구 사항에 가장 적합하도록 조정할 수 있습니다. CloudTrail의 필터 구문을 살펴보겠습니다. SSM 정보 발견:
event_type = "cloudtrail" 및 eventSource = "ssm.amazonaws.com" 및 (eventName starts_with "Describe" 또는 eventName starts_with "List")
비교적 간단하지만 Threat Stack의 쿼리 언어에서 지원되는 starts_with
연산자의 좋은 예입니다.
사용자 정의 CloudTrail 알림은 Threat Stack에서 만들 수 있는 규칙의 한 측면에 불과합니다. 그리고 이러한 규칙이 적용되면 조사를 실시해야 하는 경우 근본적인 사건을 파헤치고 싶을 것입니다. Docker 크립토재킹 에 대한 조사를 확인해 보세요. 여기에서는 경고와 관련 이벤트를 단계별로 살펴봅니다. 그리고 Threat Stack Cloud SecOps Program℠ 분석가가 수행하는 추가 조사가 곧 이 분야에 적용될 예정입니다!
Threat Stack은 이제 F5 Distributed Cloud App Infrastructure Protection (AIP)입니다. 오늘부터 팀과 함께 분산 클라우드 AIP를 사용해 보세요.