كيف ينشئ Detective رسمًا بيانيًا للسلوك

يخبركم الكشف بوجود مشكلة، أما التحقيق فيوضح ما حدث فعليًا. إن Amazon Detective هي الخدمة المصممة لـالتحقيق. فهي تحلل النشاط تلقائيًا وتنشئ نموذجًا مرئيًا، لتتمكنوا من فهم القصة الكاملة وراء الاكتشاف، وليس التنبيه وحده.

تقوم Detective بإدخال بيانات السجلات وربطها باستمرار لإنشاء رسم بياني للسلوك عبر الزمن. وبدلًا من الربط اليدوي بين السجلات عبر الخدمات، تحصلون على صورة قابلة للاستعلام ومُعدّة مسبقًا توضّح كيفية تفاعل كيانات مثل الحسابات والمثيلات وعناوين IP.

البنية الأساسية هي behavior graph: تمثل العقد كيانات مثل أدوار IAM ومثيلات EC2 وعناوين IP والحسابات، وتمثل الحواف التفاعلات والنشاط بينها. يلتقط الرسم البياني خطوط الأساس الطبيعية والانحرافات عنها، فيمنح المحققين خريطة بدلًا من سجلات خام.

تنشئ Detective رسمها البياني من أنواع بيانات القياس نفسها المستخدمة في الكشف: CloudTrail management events, VPC Flow Logs, and GuardDuty findings، بالإضافة إلى سجلات تدقيق EKS. وتتولى الربط المعقد تلقائيًا، لذا لا يتعين عليكم تجميع هذه المصادر يدويًا.

مثل GuardDuty، تتميز Detective بأنها بلا وكلاء ومدارة بالكامل. تقومون بتمكينها، فتجلب البيانات التي تحتاج إليها؛ ولا يتعين عليكم إنشاء مسارات للسجلات أو وحدات تخزين. كما تحتفظ بنحو عام من النشاط المترابط، مما يوفر نطاقًا زمنيًا طويلًا للتحقيقات من دون أن تديروا فترة الاحتفاظ.

تستخدم Detective التعلم الآلي والإحصاءات لتتعلم ما هو طبيعي لكل كيان، ثم تبرز الانحرافات. ويتيح خط الأساس للمحقق أن يرى، مثلًا، أن مثيلًا أجرى فجأة عددًا من استدعاءات API أكبر بكثير من المعتاد، وهو مؤشر قوي على الاختراق.

يُعرض الرسم البياني على شكل تصورات مرئية تفاعلية: جداول زمنية وملفات تعريف لكل كيان ومخططات للنشاط. وينقر المحلل على الكيانات المرتبطة لمتابعة المسار. ويحوّل هذا النهج المرئي ساعات البحث في السجلات إلى استكشاف موجّه.

هناك تمييز أساسي: GuardDuty يكشف، وDetective تحقق. يرفع GuardDuty اكتشافًا، بينما تساعدكم Detective على تحديد نطاقه وسببه الجذري وتأثيره. والخدمتان متكاملتان، ويتوقع الامتحان منكم اختيار Detective عندما تكون الحاجة إلى التحقيق وتحليل السبب الجذري.

تتكامل Detective مع AWS Organizations وتدعم delegated administrator، بحيث يمكن لحساب أمني التحقيق في النشاط عبر جميع حسابات الأعضاء ضمن رسم سلوك بياني واحد. وهذا يحاكي GuardDuty وSecurity Hub لتوفير عمليات متسقة عبر حسابات متعددة.

تحتفظ Detective بنحو عام كامل من النشاط المترابط في رسم السلوك البياني، وهي مدة أطول بكثير من فترة الاحتفاظ الافتراضية للاكتشافات في GuardDuty. ويتيح هذا النطاق الزمني الطويل للمحققين معرفة ما إذا كان السلوك المريب قد بدأ قبل أسابيع، مما يكشف عمليات التسلل البطيئة والخفية التي قد تفوتها نافذة قصيرة. ويُعد السجل الممتد سببًا رئيسيًا في كون Detective مكملةً للكشف وليست تكرارًا له.

هناك تفصيل عملي: يتطلب Detective أن يكون GuardDuty قد مُكّن لفترة من الوقت (نحو 48 ساعة) قبل أن تتمكنوا من تمكين Detective. ويعود ذلك إلى أن Detective تستخدم اكتشافات GuardDuty وبيانات القياس الأساسية نفسها لتهيئة رسم السلوك البياني. وقد صُممت الخدمتان للعمل جنبًا إلى جنب، بحيث يمدّ الكشفُ التحقيقَ بالبيانات.

ميّزوا بين الكشف والتحقيق.

‏Detective هي خدمة تحقيق مُدارة ولا تتطلب وكلاء. فهي تربط CloudTrail وVPC Flow Logs واكتشافات GuardDuty وسجلات تدقيق EKS في behavior graph للكيانات والتفاعلات، وتضع خطًا أساسيًا للسلوك الطبيعي، وتعرض تصورات مرئية تفاعلية مع نطاق رجوع زمني يقارب عامًا. يكشف GuardDuty، بينما تحقق Detective في السبب الجذري والنطاق.