导读

随着团队加速采用云技术，威胁行为者正迅速学习如何利用云特有的功能来获取您的资源并破坏运营。为了保持高水平的安全性，安全团队必须了解未经授权的用户如何利用云功能达成目标。在本次会议中，您将了解CrowdStrike事件响应团队最近观察到的云特有策略、技术和实践，并探讨预防、检测和响应的最佳实践。您还将看到一个简短的演示，展示可以揭示云环境中恶意行为的威胁搜寻查询。本次演讲由亚马逊云科技合作伙伴CrowdStrike为您带来。

演讲精华

以下是小编为您整理的本次演讲的精华。

在云安全不断演进的环境中，CrowdStrike的演讲揭示了令人震惊的统计数据，凸显了这一问题的紧迫性。Solomon透露，高达90%的企业运行在多云环境中，使它们面临着云意识攻击的年同比增长110%，在这种攻击中，对手专门针对云资源。此外，令人担忧的是，75%的针对云资源的攻击属于云意识或云无关攻击，强调了这些威胁的普遍性。

Kenney深入探讨了对手采用的初始访问方法，突出了使用有效帐户的普遍做法，这些帐户要么是从地下论坛获得，要么是通过网络钓鱼活动被破坏。令人震惊的是，对手有时会冒充员工并联系帮助台，成功重置密码并通过回答基于公开信息的身份验证问题来绕过多因素身份验证(MFA)。在一个实例中，一名对手冒充员工，正确回答了身份验证问题，帮助台协助重置密码并附加了一个由对手控制的新MFA设备，从而使对手获得了对环境的访问权限。

驱动这些攻击的动机是多种多样的，以数据外泄勒索或勒索为目的的电子犯罪活动是一个重要驱动力。此外，利用计算资源进行加密货币挖矿仍然是对手的一个有利可图的目标。CrowdStrike观察到，对手通过从内部环境到云的权限转移，针对访问数据、计算资源和其他目标。

随着攻击的进行，对手开始系统地扩大在受损环境中的立足点。在发现阶段，他们使用各种API调用和工具来枚举资源、身份和权限。Kenney提供了可用于在CloudTrail日志中检测这些活动的查询和逻辑示例，使组织能够在攻击链的早期识别潜在威胁。具体示例包括TruffleHog工具使用“GetCallerIdentity”API调用来验证受损的亚马逊云科技 API密钥，以及监控“GetSecretValue”和“BatchGetSecretValue”等API调用以检测对Amazon Secrets Manager的凭证访问尝试。

Solomon强调的一个令人特别关注的统计数据是攻击发生的速度。记录的最快攻击仅用时2分钟7秒，而横向移动的平均时间每年缩短约10分钟，目前平均为62分钟。

Kenney强调了监控特权升级活动的重要性，因为对手可能会尝试附加额外的策略或创建新用户和访问密钥，以在环境中建立持久性。这种持久性可以促进长期访问，并可能实现数据外泄。具体示例包括监控“AttachRolePolicy”和“AttachUserPolicy”等API调用，以检测特权升级尝试。

许多对手的最终目标是数据外泄，Kenney强调了观察到的最常见方法:S3 GetObject API调用。但是，她警告说，外泄可以通过各种途径发生，包括Web应用程序、受损终端或其他方式，这取决于采用的特定攻击向量。在一个案例中，CrowdStrike观察到一名对手在将更高特权的策略附加到他们受损的身份后，成功从S3存储桶中外泄数据。

Solomon强调，高达60%的高级入侵无法仅通过自主解决方案检测到，这凸显了需要一种综合的安全策略，将自动化与人工专业知识相结合。

在整个演讲过程中，Kenney和Solomon借鉴了真实世界的例子和客户案例，说明了所面临的挑战以及CrowdStrike提供的解决方案。其中一个例子涉及一位客户，尽管部署了终端检测和响应(EDR)解决方案，但仍然遭受了攻击。对手通过合法凭证获得初始访问，删除了其他文件，执行了lsass转储以访问Active Directory，并在62分钟内实现了横向移动 - 而在此期间，SOC分析师仍在调查大约4小时后发生的初始警报，当时攻击已经全程运行。

在另一个案例中，CrowdStrike的事件响应团队发现了一个受损环境，其安全态势与组织的基线不匹配，原因是一家被收购公司的基础设施。这凸显了维护整个攻击面的可见性并确保所有环境的安全控制一致的重要性。

Solomon强调了CrowdStrike的Overwatch威胁搜寻服务的价值，该服务持续监控并关联来自各种来源的数据，以识别潜在威胁。在一个实例中，Overwatch向一位客户发出警报，提醒他们正在发生攻击，使他们能够在40分钟内隔离受影响的帐户和工作负载，从而有效防止了通常在平均62分钟内发生的横向移动。

在整个演讲过程中，Kenney和Solomon一再强调了解对手的技术的重要性，以及需要一种综合的安全策略，包括人员、流程和技术。他们强调了减少攻击面、监控环境以及利用自动化和集成的力量来跟上不断演变的威胁环境的重要性。

在云安全领域，80%的攻击涉及身份组件，73-75%的攻击是交互式的、手动键盘攻击，CrowdStrike的Falcon平台凭借其检测和阻止新的零日攻击的能力成为了一种强大的解决方案。该平台的优势在于其专门的威胁搜寻和情报团队每天能够识别和阻止惊人的200个新的零日攻击。

通过与亚马逊云科技服务(如CloudTrail、EventBridge、CloudFormation和CodePipeline)无缝集成，Falcon平台使组织能够自动化传感器部署、容器保护和对控制平面活动的实时监控。这种集成确保组织能够利用亚马逊云科技的强大功能，同时在动态环境中保持强大的安全态势，即使在自动缩放和部署资源的情况下也是如此。具体示例包括使用亚马逊云科技 Systems Manager Distributor包在新的EC2实例上部署Falcon传感器，以及使用Kubernetes DaemonSets在新的EKS工作节点上自动部署传感器。

CrowdStrike持续创新的决心体现在其与亚马逊云科技服务(包括Security Hub、GuardDuty、WAF、CloudTrail和CloudWatch等)的不断产品集成上。这使组织能够无缝地将Falcon数据纳入其现有的安全信息和事件管理(SIEM)解决方案中，促进了云安全的整体和全面方法。

总之，CrowdStrike的“响应云事件:前线故事”演讲为确保云环境安全(尤其是亚马逊云科技生态系统)提供了全面而深入的见解。通过结合真实世界经验、可操作的策略和Falcon平台的功能，CrowdStrike为组织提供了检测、预防和有效响应云事件所需的知识和工具。随着威胁环境不断演变，对手变得越来越精明，攻击发生的速度前所未有，CrowdStrike所提供的见解和解决方案成为企业加强云安全态势、领先于对手的宝贵资源。

我们正处在 Agentic AI 爆发前夜。 2025 亚马逊云科技中国峰会提出，企业要从 " 成本优化 " 转向 " 创新驱动 " ，通过完善的数据战略和 AI 云服务，把握全球化机遇。亚马逊将投入 1000 亿美元在 AI 算力、云基础设施等领域，通过领先的技术实力和帮助“中国企业出海“和”服务中国客户创新“的丰富经验，助力企业在 AI 时代突破。