Pivotering fra et GuardDuty-finding

Undersøgelser begynder normalt med en alarm. Detective integreres tæt med GuardDuty, så du kan skifte direkte fra en observation til adfærdsgrafen. Med ét klik går du fra "noget er galt" til en omfattende, kontekstuel visning af alt, der er relateret til observationen.

I GuardDuty og Security Hub indeholder observationer en handling med navnet Investigate in Detective. Når du vælger den, åbner Detective med fokus på enhederne i observationen, f.eks. den berørte instans, IAM-rollen eller den eksterne IP-adresse. Kontexten er indlæst på forhånd, så du sparer tid på opsætning.

Når du skifter fra en observation, lander du på en enhedsprofil, en side, der opsummerer én enheds aktivitet: dens typiske adfærd, seneste ændringer og forbindelser. Fra observationens instans kan du f.eks. med det samme se mængden af API-kald, netværksaktiviteten og eventuelle afvigelser.

Fra én enhed kan du skifte til relaterede enheder: den IP-adresse, der kontaktede instansen, rollen hvis legitimationsoplysninger blev brugt, eller andre ressourcer, som aktøren berørte. Hvert skift udvider billedet, så du trin for trin kan følge en angribers vej gennem miljøet.

Et centralt mål er at fastslå påvirkningsomfanget: Hvad har aktøren ellers berørt? Detectives sammenkædede graf viser, om kun én instans blev påvirket, eller om legitimationsoplysninger spredte sig til andre ressourcer. Denne afgrænsning afgør, hvor omfattende din inddæmning skal være.

Det hjælper dig også at afgøre, om en observation er en ægte positiv. Hvis den relaterede aktivitet stemmer overens med et kendt, harmløst mønster, kan du trygt afvise den. Hvis den afslører mere mistænkelig adfærd, eskalerer du sagen. Uanset hvad handler du ud fra beviser og ikke gætterier.

Når du pivoterer, viser Detective aktivitet omkring fundets tidsvindue og sammenligner den med entitetens historiske normalniveau. Hvis du kan se, at en stigning begyndte præcis, da fundet blev udløst, styrker det vurderingen af, at fundet markerer et reelt indbrud.

Med organisationsintegration kan en pivotering følge aktivitet på tværs af konti. Hvis en kompromitteret legitimationsoplysning blev brugt på en anden konto, kan Detective vise det i den samme graf. Det er afgørende, fordi angribere ofte bevæger sig lateralt mellem konti.

Ved at fjerne manuel korrelation af logge komprimerer pivotering undersøgelsen fra timer til minutter. Hurtigere forståelse betyder hurtigere inddæmning, hvilket direkte begrænser skaden. Ved eksamen fremstilles Detective som acceleratorleddet mellem en GuardDuty-alarm og en effektiv reaktion.

Handlingen Investigate in Detective er ikke begrænset til GuardDuty. Security Hub-fund, der stammer fra GuardDuty, giver også mulighed for pivotering, så en analytiker, der sorterer i det samlede dashboard, kan gå direkte til adfærdsgrafen. Det betyder, at den centrale konsol og undersøgelsesværktøjet er direkte forbundet, så arbejdsgangen med registrering, samling og undersøgelse forbliver sammenhængende.

Detective kan samle relaterede fund i fundgrupper og automatisk forbinde fund, entiteter og den aktivitet, der knytter dem sammen, til én undersøgelsesenhed. I stedet for at pivotere fra et enkelt fund begynder du med en gruppe, der allerede fortæller en koordineret historie. Det gør undersøgelsen hurtigere ved at vise hele hændelsen i stedet for én alarm ad gangen.

Detective integrerer med GuardDuty via handlingen Investigate in Detective. Pivotering åbner en entitetsprofil, lader dig følge relaterede entiteter for at afgrænse skadeomfanget, sammenligner aktivitet med et tidsbevidst normalniveau og kan følge lateral bevægelse på tværs af konti. Det omdanner et fund til en hurtig, evidensbaseret undersøgelse og reaktion.