¿Qué hace Análisis de Patrones de Acceso a Almacenamiento en la Nube?
Cuándo Usar
- Al investigar incidentes de seguridad que requieran analizar patrones de acceso a almacenamiento en la nube
- Al construir reglas de detección o consultas de caza de amenazas para este dominio
- Cuando los analistas de SOC necesiten procedimientos estructurados para este tipo de análisis
- Al validar la cobertura de monitoreo de seguridad para técnicas de ataque relacionadas
Requisitos Previos
- Familiaridad con conceptos y herramientas de seguridad en la nube
- Acceso a un entorno de prueba o laboratorio para una ejecución segura
- Python 3.8+ con las dependencias requeridas instaladas
- Autorización apropiada para cualquier actividad de prueba
Instrucciones
- Instalar dependencias:
pip install boto3 requests
- Consultar CloudTrail para eventos de datos de S3 usando AWS CLI o boto3.
- Construir líneas base de acceso: volumen de solicitudes por hora, conteo de objetos por usuario, historial de IPs de origen.
- Detectar anomalías:
- Acceso fuera del horario laboral (fuera del rango 8am-6pm hora local)
- Descargas masivas: >100 llamadas GetObject desde un solo principal en 1 hora
- Nuevas IPs de origen no vistas en los últimos 30 días
- Picos de enumeración de ListBucket (indicador de reconocimiento)
- Generar un informe priorizado de hallazgos.
python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json
Ejemplos
Evento de Datos S3 de CloudTrail
{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
"sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}