クラウドストレージアクセスパターンの分析
使用するタイミング
- クラウドストレージアクセスパターンの分析が必要なセキュリティインシデントを調査する場合
- このドメイン向けの検知ルールや脅威ハンティングクエリを作成する場合
- SOCアナリストがこの分析タイプの構造化された手順を必要とする場合
- 関連する攻撃手法に対するセキュリティ監視カバレッジを検証する場合
前提条件
- クラウドセキュリティの概念とツールに関する知識
- 安全に実行するためのテスト環境またはラボ環境へのアクセス
- 必要な依存関係がインストールされたPython 3.8+
- テスト活動に対する適切な認可
手順
- 依存関係をインストール:
pip install boto3 requests
- AWS CLIまたはboto3を使用してS3 Data EventsのCloudTrailをクエリします。
- アクセスベースラインを作成: 時間ごとのリクエスト数、ユーザーごとのオブジェクト数、送信元IP履歴。
- 異常を検出:
- 時間外アクセス（現地時間の午前8時～午後6時以外）
- バルクダウンロード: 1時間に単一プリンシパルから100件以上のGetObject呼び出し
- 過去30日間に確認されていない新しい送信元IP
- ListBucket列挙の急増（偵察の兆候）
- 優先順位付けされた検出結果レポートを生成。
python scripts/agent.py --bucket my-sensitive-data --hours-back 24 --output s3_access_report.json
例
CloudTrail S3 Data Event
{"eventName": "GetObject", "requestParameters": {"bucketName": "sensitive-data", "key": "financials/q4.xlsx"},
"sourceIPAddress": "203.0.113.50", "userIdentity": {"arn": "arn:aws:iam::123456789012:user/analyst"}}