Una pausa di 14 giorni spezza un'unica intrusione AWS in 78 alert
Elastic Security Labs ha ricostruito un'intrusione AWS durata 16 giorni: credenziali di otto identità, distribuite su quattro account, hanno generato 78 alert di gravità bassa o media, frammentati fra sei regole. Una pausa di 14 giorni ha spezzato la correlazione di un'unica operazione.
L'attaccante ha usato credenziali AWS per chiamate API che anche i ruoli legittimi eseguono normalmente, poi è tornato dopo due settimane. Le finestre temporali fisse non hanno collegato le due fasi, facendo apparire l'attività come eventi separati. Elastic segnala il primo uso di CyberStrikeAI contro AWS, ma non può dimostrare che un LLM abbia diretto l'operazione. Il log SSM non chiarisce cosa abbia fatto il comando remoto né se sia riuscito.
Lo stesso punto cieco può riguardare qualsiasi ambiente cloud con finestre di correlazione brevi: l'abuso di credenziali che riprende dopo una lunga pausa rischia di sembrare una serie di eventi scollegati, anche quando coinvolge più identità e account.