Para empezarUn atacante silencioso acaba de modificar la configuración de tus buckets S3 y tus alertas no pitaron. ¿Dónde estabas mirando?
La ceguera de los logs
Más del 70% de las brechas en entornos cloud no se descubren por alertas automáticas, sino mediante la revisión manual y forense de los eventos de auditoría semanas después de que el atacante ya haya exfiltrado la información.
Eventos de auditoría cloud
Son el registro inmutable de cada llamada a la API, inicio de sesión y cambio de estado en la infraestructura. En AWS se llaman CloudTrail, en Azure Activity Log y en Google Cloud Audit Logs. Son tu única verdad forense tras un compromiso.
Filtros críticos de búsqueda
Cuando inicies una investigación en los logs de auditoría, prioriza siempre buscar patrones de comportamiento anómalo específicos antes de ahogarte en gigabytes de datos irrelevantes.
Marca cada paso al entenderlo · 0/4
Consultando CloudTrail con CLI
Utilizamos la interfaz de comandos para extraer eventos recientes de creación de usuarios IAM que no coincidan con patrones habituales de administración.
$ aws cloudtrail lookup-events --lookup-attributes AttributeKey=EventName,AttributeValue=CreateUser --max-results 5
{
"Events": [
"EventId": "d4b8c9e1-2f3a-4b5c-6d7e-8f9a0b1c2d3e",
"EventName": "CreateUser",
"Username": "temp-backdoor-admin"
]
}
El peligro del antiforense
Nunca confíes ciegamente en los logs almacenados en la misma cuenta comprometida. Un atacante con permisos de administrador puede deshabilitar CloudTrail o borrar registros. Configura siempre un bucket centralizado, cifrado y de escritura única (WORM) en otra cuenta aislada.
Correlación temporal
El análisis de logs nunca es lineal. Consiste en alinear los eventos de auditoría de identidad, red y almacenamiento en una única línea temporal cronológica para entender el vector de entrada y el movimiento lateral exacto del atacante.
¿Te acuerdas? Toca para comprobarlo
Atajos: ← → para cambiar de pieza · / para buscar