Esta solução ajuda você a rastrear a origem de ataques de rede ao integrar a detecção de Prevenção contra Intrusões (IPS) do Cloud Firewall com o log de sessão NAT. Isso permite identificar rapidamente o endereço IP privado de um ativo comprometido, o que viabiliza uma análise ágil da origem do ataque.
Risco ao negócio
Em um ambiente VPC, as empresas costumam usar um NAT Gateway para criar um gateway de internet seguro e isolado. Ao traduzir e ocultar os endereços IP privados dos serviços de cloud, o NAT Gateway impõe uma barreira contra a exposição direta. Dispositivos de segurança, como firewalls, também são implantados nesse gateway para filtrar o tráfego. No entanto, quando ocorre um ataque de rede pública ou uma conexão de saída não autorizada, os alertas de segurança geralmente identificam apenas o endereço IP elástico (EIP) do NAT Gateway. Como resultado, torna-se difícil localizar a instância ECS específica ou outro ativo com o endereço IP privado em risco, o que atrasa o rastreamento do ataque e a resposta a incidentes.
Solução
Para resolver esse desafio, o Cloud Firewall introduziu o recurso de rastreamento de IP privado do IPS. Esse recurso correlaciona automaticamente os eventos do log de sessão do NAT Gateway com os alertas de IPS do Cloud Firewall, revelando diretamente o endereço IP privado da instância comprometida. Isso permite que sua equipe localize rapidamente os ativos afetados e tome contramedidas eficazes.
Capacidades do IPS do Cloud Firewall: O mecanismo de IPS do Cloud Firewall detecta e protege contra ataques de entrada e saída da internet. Todo o tráfego de rede que passa pelo Cloud Firewall é filtrado pelo mecanismo de IPS antes de ser encaminhado. O Cloud Firewall usa um mecanismo de Inspeção Profunda de Pacotes (DPI) para identificar protocolos de tráfego e analisar pacotes. Em seguida, filtra os fluxos de tráfego e os pacotes usando o mecanismo de IPS e a inteligência contra ameaças. Se um pacote corresponder a um padrão do mecanismo de ameaças e a uma regra de IPS, o mecanismo de IPS descarta ou permite o pacote com base na ação da regra, o que viabiliza alertas e interceptação em tempo real. O Cloud Firewall também registra logs de ataque de IPS detalhados.
Log de sessão NAT: O NAT Gateway oferece um recurso de log de sessão. Quando você cria uma entrada SNAT para um NAT Gateway, o gateway registra o tráfego que passa por ele como sessões SNAT em um log para rastreamento e monitoramento. O gateway grava esses logs de sessão no Simple Log Service (SLS). Cada entrada de log captura um fluxo de rede de quintupla específico dentro de uma janela de captura específica. Para tráfego de entrada usando DNAT, é possível localizar o endereço IP privado específico por meio do mapeamento de portas.
Rastreamento de ataques de saída
Rastreamento de ataques de entrada
Caso de uso
Considere uma empresa de varejo de médio porte com um negócio de e-commerce na cloud. Para garantir a estabilidade e a segurança do service, a empresa implanta um NAT Gateway em uma VPC de DMZ para lidar com todo o tráfego de internet de entrada e saída, reduzindo o risco de exposição. Ela também usa o Cloud Firewall com o firewall de internet ativado para filtrar e proteger o tráfego direcionado ao endereço IP elástico do NAT Gateway. Certa noite, a equipe de operações de segurança recebe um alerta sobre tráfego anormal. A suspeita é de que um invasor explorou uma vulnerabilidade no servidor para plantar um trojan. Esse trojan iniciou conexões de saída maliciosas para um endereço IP no exterior, baixou um script bash e instalou um trojan da família CoinMiner. A equipe de segurança precisa identificar rapidamente o servidor de back-end comprometido.
É nesse cenário que o recurso de rastreamento de IP privado do IPS do Cloud Firewall se torna crucial. Após a ativação, o sistema correlaciona o fluxo de rede de quintupla específico capturado em cada log de sessão NAT ao evento de IPS correspondente, identificando o endereço IP privado em risco em poucos minutos. Isso permite que os profissionais de segurança identifiquem rapidamente o servidor comprometido, apliquem uma política de ACL para bloquear o acesso de saída e removam o trojan, minimizando perdas e impedindo a propagação do risco.
Notas de uso
Este recurso é compatível com instâncias do Cloud Firewall nos modelos de pagamento conforme o uso e assinatura. Também é compatível com instâncias públicas do NAT Gateway faturadas por CU. As instâncias do NAT Gateway faturadas por especificação não oferecem suporte ao recurso de log de sessão.
A ativação do rastreamento de IP privado do IPS não gera cobranças adicionais do Cloud Firewall. No entanto, o sistema cria um índice nos logs de sessão do seu NAT Gateway e os consulta, o que gera taxas do SLS. Para obter informações sobre os preços do SLS, consulte a página de preços do SLS.
Depois que você ativa o rastreamento de IP privado do IPS, o sistema verifica o índice do log de sessão NAT. Se o índice estiver desativado ou se faltarem campos obrigatórios para o rastreamento, ele cria ou atualiza automaticamente o índice com os campos necessários.
Configuração
Faça login no console do Cloud Firewall. No painel de navegação à esquerda, escolha .
Na aba , visualize a lista de ativos públicos compatíveis com o rastreamento. Para o NAT Gateway correspondente, o internet firewall e o NAT session log devem estar ativados para usar o rastreamento de IP privado do IPS. Ao clicar na chave na coluna Actions, você receberá um prompt para ativar esses recursos caso estejam desativados. Clique em links nos prompts e siga as instruções para concluir a configuração. Você também pode consultar os documentos a seguir para obter instruções detalhadas de configuração:
Ative o internet firewall: Enable protection for assets
Ative o NAT session log: Configure the session log feature
Para obter instruções detalhadas, consulte Traffic tracing.
Visualizar resultados do rastreamento
Devido a atrasos na coleta e entrega de logs, os resultados do rastreamento geralmente ficam disponíveis cerca de 20 minutos após a ocorrência de um evento.
Após a ativação do Private IP Traceback, você pode visualizar os dados de rastreamento nos cenários a seguir.
A lista de eventos de prevenção contra intrusões contém as seguintes colunas: Time, Source IP, Destination IP, Event Name (incluindo tipo de ataque, direção e origem da detecção), Event Count/Risk Level, Defense Status e Operation. Por exemplo, um registro pode mostrar um ataque web de entrada a partir de um endereço IP público, como um evento de MeterSphere plugin remote code execution, detectado por patch virtual, direcionado a um endereço IP privado. O nível de risco é Alto e o status de defesa é Alert Only.
A página de detalhes de prevenção contra intrusões possui duas abas: Basic Information e Attack Payload. A aba Basic Information exibe os detalhes do alerta como pares chave-valor, incluindo campos como First discovered, Last discovered, Direction (Inbound/Outbound), Source IP, Destination IP e Private IP. O campo Private IP mostra o endereço IP interno associado.
A lista de eventos de alerta exibe o Risk Level, Event Name, Asset Type, Instance ID/Name, Affected Asset IP/UID, Time e Processing Status de cada alerta. A coluna de ativos afetados permite localizar o endereço IP privado usando o recurso de rastreamento de IP privado. A coluna de operação fornece opções como One-Click Defense, Ignore e Details.
A página de detalhes possui duas abas: Basic Information e Breach Payload. Na aba Basic Information, a seção Event Summary mostra o nome do evento (como comunicação de backdoor de trojan), hora, nível de risco (como Alto) e descrição do evento. A seção Affected Assets exibe informações como o nome do ativo afetado, IP público e endereço IP privado, o que ajuda a localizar o ativo afetado.
Na aba :
A tabela exibe registros de eventos de segurança, com colunas que incluem Received Time, Type, Detection Source, Rule Name, Source IP, Destination IP, Private IP e Private Port. O Private IP e a Private Port são campos essenciais. Por exemplo, um evento de varredura web do Nmap corresponde a um endereço IP privado 10.11.xxx.xxx e a uma porta privada 8000.