Sådan opbygger Detective en adfærdsgraf

Detektion fortæller dig, at noget er galt; undersøgelse fortæller dig, hvad der faktisk skete. Amazon Detective er tjenesten, der er bygget til undersøgelse. Den analyserer automatisk aktivitet og opbygger en visuel model, så du kan forstå hele historien bag en observation og ikke kun alarmen.

Detective indtager og forbinder løbende logdata for at opbygge en graf over adfærd over tid. I stedet for manuelt at sammenholde logfiler på tværs af tjenester får du et forudbygget, søgbart billede af, hvordan enheder som konti, instanser og IP-adresser har interageret.

Den centrale konstruktion er adfærdsgrafen: Knuderne er enheder (f.eks. IAM-roller, EC2-instanser, IP-adresser og konti), og kanterne er interaktionerne og aktiviteten mellem dem. Grafen registrerer normale grundlinjer og afvigelser og giver efterforskere et kort i stedet for rå logfiler.

Detective opbygger sin graf ud fra de samme typer telemetri som detektion: CloudTrail-administrationshændelser, VPC Flow Logs og GuardDuty-observationer samt EKS-revisionslogfiler. Den udfører den omfattende sammenkædning automatisk, så du ikke skal samle disse kilder manuelt.

Ligesom GuardDuty er Detective agentløs og fuldt administreret. Du aktiverer den, og den henter de data, den har brug for; du skal ikke opbygge logpipelines eller lager. Den opbevarer også omkring et års sammenkædet aktivitet, så du får en lang tilbageblikshorisont til undersøgelser uden selv at administrere opbevaringen.

Detective bruger maskinlæring og statistik til at lære, hvad der er normalt for hver enhed, og fremhæver derefter afvigelser. Når du kender grundlinjen, kan en efterforsker se, at en instans f.eks. pludselig har foretaget langt flere API-kald end normalt, hvilket er et stærkt tegn på kompromittering.

Grafen vises som interaktive visualiseringer: tidslinjer, profiler for hver enhed og aktivitetsdiagrammer. En analytiker klikker sig gennem relaterede enheder for at følge et spor. Denne visuelle tilgang omdanner timevis af søgning i logfiler til guidet udforskning.

En vigtig forskel er: GuardDuty detekterer, Detective undersøger. GuardDuty opretter en observation; Detective hjælper dig med at fastslå dens omfang, rodårsag og påvirkning. De supplerer hinanden, og eksamen forventer, at du vælger Detective, når behovet er undersøgelse og rodårsagsanalyse.

Detective integreres med AWS Organizations og understøtter en delegeret administrator, så en sikkerhedskonto kan undersøge aktivitet på tværs af alle medlemskonti i én adfærdsgraf. Det afspejler GuardDuty og Security Hub og giver ensartet drift på tværs af flere konti.

Detective opbevarer omkring et års sammenkædet aktivitet i adfærdsgrafen, hvilket er langt længere end GuardDutys standardopbevaring af observationer. Denne lange tilbageblikshorisont lader efterforskere se, om mistænkelig adfærd begyndte for flere uger siden, og afslører langsomme, skjulte indtrængninger, som et kort tidsvindue ville overse. Den udvidede historik er en vigtig grund til, at Detective supplerer detektion i stedet for at være en kopi af den.

En praktisk detalje er, at Detective kræver, at GuardDuty har været aktiveret i en periode (omkring 48 timer), før du kan aktivere Detective. Det skyldes, at Detective bruger GuardDuty-observationer og den samme underliggende telemetri til at starte sin adfærdsgraf. De to tjenester er designet til at fungere sammen, hvor detektion leverer data til undersøgelsen.

Detective er den agentløse, administrerede tjeneste til undersøgelse. Den sammenkæder CloudTrail, VPC Flow Logs, GuardDuty-observationer og EKS-revisionslogfiler i en adfærdsgraf over enheder og interaktioner, fastlægger normal adfærd og viser interaktive visualiseringer med omkring et års tilbageblik. GuardDuty detekterer; Detective undersøger rodårsag og omfang.