تحليل الكيانات والنوافذ الزمنية

يجمع التحقيق الفعال بين سؤالين: ما الكيانات المشاركة، وخلال أي فترة زمنية تصرفت بطريقة غير اعتيادية؟ صُمم Detective مع مراعاة الأمرين. ويتيح لك إتقان طريقة عرضه للكيانات والنوافذ الزمنية قراءة الرسم البياني بسرعة وثقة.

في Detective، الكيان هو أي عنصر يتتبعه الرسم البياني: مستخدم أو دور IAM، أو مثيل EC2، أو حساب AWS، أو عنوان IP، أو وكيل مستخدم، أو اكتشاف بحد ذاته. ولكل كيان صفحة ملف تعريف تلخص سلوكه والكيانات التي اتصل بها.

يجمع ملف تعريف الكيان كل ما يعرفه Detective عن كيان واحد في لوحات تتضمن: حجم استدعاءات API بمرور الوقت، والمواقع الجغرافية للنشاط، والموارد المتصلة، والاكتشافات المرصودة. وهي الصفحة الوحيدة التي تتيح لك فهم أحد العناصر الفاعلة أو الموارد بعمق.

يُحدَّد كل ملف تعريف بواسطة وقت النطاق، أي النافذة الزمنية التي تحللها. ويمكنك توسيعها أو تضييقها للتركيز على الفترة المحيطة بحادثة ما. ويقارن Detective النشاط داخل هذه النافذة بخط الأساس الأطول مدةً للكيان.

يقارن Detective السلوك الأساسي بالنافذة المحددة النطاق. فإذا كان دور IAM يجري عادةً 50 استدعاءً في الساعة، لكنه أجرى 5,000 استدعاء خلال النافذة، فسيظهر هذا الانحراف بوضوح. وتساعدك قراءة هذه المقارنات على التمييز بين الضوضاء الطبيعية والشذوذات الحقيقية.

بالنسبة إلى اكتشافات الهوية، يعرض Detective المواقع الجغرافية وعناوين IP التي تصرف منها كيان ما. فإذا استُخدم دور فجأةً من بلد غير مألوف خلال وقت النطاق، فذلك يشير بقوة إلى سرقة بيانات الاعتماد. وتُعد أنماط الموقع من أوضح الإشارات التحقيقية.

يفصّل Detective استدعاءات API التي أجراها الكيان: ما الإجراءات، وعدد مرات إجرائها، وما إذا كانت جديدة بالنسبة إلى ذلك الكيان. ويشير اندفاع من الإجراءات غير المعتادة، مثل إنشاء المستخدمين أو تغيير السياسات خلال النافذة، إلى مهاجم نشط لا إلى استخدام اعتيادي.

يسرد كل ملف تعريف الكيانات المتصلة: عناوين IP التي استدعت دورًا، والمثيلات التي لامستها بيانات الاعتماد، والحسابات المشاركة. وتساعد متابعة هذه الاتصالات ضمن النافذة الزمنية على إعادة بناء سلسلة النشاط التي تشكل الحادثة.

التحقيق عملية تكرارية: تحدد وقت نطاق، وتعثر على شيء ما، ثم تضبط النافذة لالتقاط المزيد من النشاط. ويعزل التضييق الحدث الدقيق، بينما يكشف التوسيع عن الاستطلاع السابق أو الحركة الجانبية اللاحقة. ويجعل Detective إعادة تحديد النطاق هذه سريعة.

يعرض Detective سلوك الكيان على شكل مخطط زمني للنشاط خلال وقت النطاق، مع مخططات تجعل الارتفاعات والفجوات ظاهرةً بنظرة واحدة. ويكشف تمرير المؤشر فوق نقطة أو النقر عليها الاستدعاءات أو الاتصالات الأساسية. ويتيح لك تعلم قراءة هذا المخطط تحديد الوقت الذي بدأ فيه السلوك غير الطبيعي بدقة، وهو ما يمثل غالبًا لحظة الاختراق.

يكيّف Detective تحليله وفق نوع الكيان. فبالنسبة إلى دور IAM أو مستخدم IAM، يركز على نشاط الأدوار المفترضة، والمواقع الجغرافية، وإجراءات API؛ وبالنسبة إلى مثيل EC2، يركز على اتصالات الشبكة وحجم حركة المرور؛ وبالنسبة إلى Kubernetes، يركز على نشاط البودات والحاويات من سجلات تدقيق EKS. ومعرفة الإشارات المهمة لكل نوع من الموارد تحسن طريقة قراءتك للملف أثناء الحادثة.

اقرأ نشاط كيان بمرور الوقت.

يجمع تحليل Detective بين الكيانات (الأدوار والمستخدمين والمثيلات وعناوين IP والحسابات) ونافذة وقت النطاق. وتعرض ملفات تعريف الكيانات حجم استدعاءات API، والمواقع الجغرافية، والكيانات المتصلة، مع مقارنة النشاط المحدد النطاق بخط أساس طويل الأمد. وتكشف الانحرافات، مثل الارتفاعات المفاجئة في استدعاءات API أو النشاط من مواقع جديدة، عن الاختراق، ثم تعيد تحديد نطاق النافذة تكراريًا لمتابعة الأدلة.