الانتقال من نتيجة في GuardDuty

تبدأ التحقيقات عادةً بتنبيه. تتكامل Detective بشكل وثيق مع GuardDuty، بحيث يمكنكم الانتقال مباشرةً من اكتشاف إلى رسم السلوك البياني. وتنقلكم نقرة واحدة من "هناك مشكلة ما" إلى عرض غني بالسياق لكل ما يرتبط بذلك الاكتشاف.

تحمل الاكتشافات في GuardDuty وSecurity Hub إجراء Investigate in Detective. يؤدي اختياره إلى فتح Detective مع التركيز على الكيانات الواردة في الاكتشاف، مثل المثيل المتأثر أو دور IAM أو عنوان IP البعيد. ويكون السياق محمّلًا مسبقًا، مما يوفر وقت الإعداد.

ينقلكم الانتقال إلى entity profile، وهي صفحة تلخص نشاط كيان واحد: سلوكه المعتاد وتغييراته الأخيرة واتصالاته. فمن ملف تعريف المثيل الوارد في الاكتشاف، يمكنكم مثلًا رؤية حجم استدعاءات API ونشاط الشبكة وأي حالات شاذة فورًا.

من كيان واحد، يمكنكم الانتقال إلى الكيانات المرتبطة: عنوان IP الذي اتصل بالمثيل، أو الدور الذي استُخدمت بيانات اعتماده، أو الموارد الأخرى التي وصل إليها الفاعل. يوسّع كل انتقال الصورة، مما يتيح لكم تتبّع مسار المهاجم عبر البيئة خطوةً بخطوة.

من الأهداف الأساسية تحديد نطاق الأثر: ما الأشياء الأخرى التي وصل إليها الفاعل؟ يوضح الرسم البياني المترابط في Detective ما إذا كان مثيل واحد قد تأثر، أو ما إذا كانت بيانات الاعتماد قد امتدت إلى موارد أخرى. ويحدد هذا النطاق مدى اتساع إجراءات الاحتواء اللازمة.

يساعدكم الانتقال بين الكيانات أيضًا على تحديد ما إذا كان الاكتشاف إيجابيًا حقيقيًا. فإذا تطابق النشاط المرتبط مع نمط معروف وسليم، يمكنكم استبعاده بثقة. أما إذا كشف عن سلوك أكثر إثارة للريبة، فقوموا بتصعيده. وفي كلتا الحالتين، تتصرفون بناءً على الأدلة لا التخمينات.

عند الانتقال بين العناصر، يعرض Detective النشاط المحيط بـالإطار الزمني للاكتشاف، ويقارنه بخط الأساس التاريخي للكيان. إن رؤية بدء الارتفاع المفاجئ تمامًا عند إطلاق الاكتشاف تعزز احتمال أن الاكتشاف يشير إلى اختراق حقيقي.

من خلال تكامل المؤسسة، يمكن للانتقال بين العناصر تتبّع النشاط عبر الحسابات. فإذا استُخدمت بيانات اعتماد مخترقة في حساب ثانٍ، يستطيع Detective عرض ذلك في الرسم البياني نفسه. وهذا أمر بالغ الأهمية لأن المهاجمين غالبًا ما يتحركون جانبيًا بين الحسابات.

من خلال الاستغناء عن الربط اليدوي بين السجلات، يختصر الانتقال بين العناصر مدة التحقيق من ساعات إلى دقائق. ويعني الفهم الأسرع احتواءً أسرع، مما يحد من الضرر مباشرةً. ويعرض الاختبار Detective بوصفه عامل التسريع بين تنبيه GuardDuty والاستجابة الفعالة.

لا يقتصر إجراء Investigate in Detective على GuardDuty. إذ تتيح أيضًا الاكتشافات في Security Hub الواردة من GuardDuty إجراء الانتقال، ولذلك يستطيع المحلل الذي يفرز التنبيهات في لوحة المعلومات المجمعة الانتقال مباشرةً إلى الرسم البياني للسلوك. وهذا يعني أن وحدة التحكم المركزية وأداة التحقيق متصلتان مباشرةً، مما يحافظ على سلاسة تدفق الاكتشاف والتجميع والتحقيق.

يستطيع Detective تجميع الاكتشافات ذات الصلة في مجموعات اكتشافات، مع ربط الاكتشافات والكيانات والنشاط الذي يصل بينها تلقائيًا في وحدة واحدة قابلة للتحقيق. وبدلًا من الانتقال من اكتشاف واحد، تبدأ من مجموعة تعرض قصة منسقة مسبقًا. وهذا يسرّع التحقيق من خلال إظهار الحادثة كاملةً بدلًا من تنبيه واحد في كل مرة.

يتكامل Detective مع GuardDuty عبر إجراء Investigate in Detective. يفتح الانتقال بين العناصر ملف تعريف كيان، ويتيح لك تتبّع الكيانات ذات الصلة لتحديد نطاق التأثير، ويقارن النشاط بخط أساس يراعي الوقت، كما يمكنه تتبّع الحركة الجانبية عبر الحسابات. ويحوّل ذلك الاكتشاف إلى تحقيق واستجابة سريعين قائمين على الأدلة.