基于ELK Stack搭建AWS日志SEIM仪表盘的安全监控咨询

基于已完成AWS全量日志接入Open Distro for Elasticsearch、Kibana可视化搭建的前提，以下是可直接落地的实操方案：

• 身份访问类：CloudTrail全量管理事件、IAM Access Analyzer检测日志、AWS控制台登录日志（根账号操作单独打标签）、SSO身份认证日志、AK/SK调用鉴权日志
• 资源变更类：安全组/NACL/路由表等网络配置变更日志、EC2/EBS/RDS/Lambda等核心资源的配置修改日志、S3存储桶权限/策略变更日志、KMS密钥操作日志
• 原生安全服务日志：GuardDuty威胁检测告警、AWS Config不合规事件、Macie敏感数据泄露告警、WAF/Shield攻击日志、VPC Flow Logs全量流量日志
• 数据流转类：S3访问日志、跨账号/跨区域数据复制日志、RDS/EBS快照共享日志、CloudFront回源/下载流量日志、S3预签名URL生成与访问日志

按日常巡检优先级分模块放，不要堆无用指标：

• 身份安全模块
  • 24小时控制台/API登录总次数、登录成功率、根账号操作次数、非白名单IP登录次数
  • 高频调用API账号排行、闲置超30天的休眠账号触发操作的记录、跨账号临时凭证调用量
• 资源变更模块
  • 24小时网络配置（安全组/NACL）变更次数、S3桶权限修改次数、EC2密钥对更换/实例异常启停次数
  • 各区域资源创建量、非公司常用运维区域的操作占比
• 告警态势模块
  • 高危告警实时计数、未处理告警存量、告警等级分布、近7天告警趋势
  • 告警涉及的Top10高频风险资源
• 数据流转模块
  • 24小时S3外发总流量、跨账号数据传输量、KMS解密调用量波动幅度
  • 非工作时间数据类操作占比

配规则前先录入运维白名单（固定运维IP、常规运维操作账号、计划内变更窗口），避免告警疲劳：

• 身份类高危告警（即时推送）
  • 根账号发起的任意控制台/API操作（预定义白名单场景除外）
  • 单账号10分钟内密码错误/AK鉴权失败≥8次
  • 非白名单IP段登录控制台、非工作时间高权限（全资源读写）账号登录
  • 新建IAM用户直接附加AdministratorAccess权限、新建AK后1分钟内触发公网数据上传/下载操作
• 资源配置类高危告警（即时推送）
  • 安全组新增0.0.0.0/0放行22/3389/3306等高危端口的规则
  • S3存储桶被修改为公开读/公开写、桶策略更新为允许外账号访问
  • 主动关闭CloudTrail日志采集、停用GuardDuty/Config等安全服务、关闭VPC Flow Logs采集
• 数据操作类高危告警（即时推送）
  • 非工作时间对核心业务S3桶的批量下载/删除操作、单小时单IP从S3下载流量超日常基线3倍
  • RDS/EBS快照被共享给外账号、被设置为公开访问
  • KMS密钥被导出、单小时批量解密调用量超日常基线3倍
• 异常行为类中危告警（1小时汇总推送）
  • 资源操作源IP为已知恶意IP/Tor出口节点
  • 单账号1小时内枚举访问≥50个不存在的S3桶/EC2实例
  • EC2实例主动对外连接已知恶意C2地址、挖矿协议端口

别靠单条日志判定，误报率极高，按以下逻辑落地：

• 先建正常行为基线：拉取近30天的历史日志，固定几个核心基线维度：常规运维IP段、日常运维时间窗口、各账号有权限调用的API列表、各业务S3桶日常下载流量峰值、日常操作的AWS区域，所有偏离基线的行为先打异常标签
• 做事件关联判定：单条登录失败、单条S3下载都不算入侵，但是如果串起「陌生IP连续AK鉴权失败→10分钟后登录成功→立刻停用CloudTrail日志→修改核心S3桶权限→大流量外发」这一整条链路，直接判定为入侵事件，在Open Distro里可以用关联规则引擎把多类日志按request_id、源IP、账号ID做拼接，误报率能降60%以上
• 重点盯对抗类操作：攻击者拿到权限后第一步通常会关日志、删告警、留后门，只要出现非计划内的安全服务停用、不在运维台账里的新建高权限用户，哪怕没有后续数据操作，也要按入侵嫌疑排查
• 抓数据窃取的核心特征：一是流量突增，比如平时S3日外发流量几十GB，突然几小时跑到TB级，且目标IP不在公司IDC/合作方白名单；二是权限越界，比如平时只做日志上传的业务账号，突然开始遍历核心业务桶的所有文件；三是路径异常，比如先把核心数据拷到新建的临时桶，再给临时桶开公开权限，或者生成短有效期的预签名URL往外传数据

内容的提问来源于stack exchange，提问作者Jacob Brain