Wie Detective einen Verhaltensgraphen erstellt

Die Erkennung zeigt Ihnen, dass etwas nicht stimmt; die Untersuchung klärt, was tatsächlich passiert ist. Amazon Detective ist der speziell für investigation entwickelte Service. Er analysiert Aktivitäten automatisch und erstellt ein visuelles Modell, damit Sie die gesamte Geschichte hinter einem Fund verstehen – nicht nur die Warnung.

Detective continuously ingests and links log data, um einen Graphen des Verhaltens im Zeitverlauf zu erstellen. Statt Protokolle aus verschiedenen Services manuell zu korrelieren, erhalten Sie eine vordefinierte, durchsuchbare Darstellung der Interaktionen zwischen Entitäten wie Konten, Instances und IP-Adressen.

Das zentrale Konstrukt ist der behavior graph: Knoten stellen Entitäten dar, etwa IAM-Rollen, EC2-Instances, IP-Adressen und Konten; Kanten zeigen die Interaktionen und Aktivitäten zwischen ihnen. Der Graph erfasst normale Ausgangswerte und Abweichungen und liefert Untersuchenden so eine Karte statt roher Protokolle.

Detective erstellt seinen Graphen aus denselben Arten von Telemetriedaten wie die Erkennung: CloudTrail management events, VPC Flow Logs, and GuardDuty findings sowie EKS-Auditprotokollen. Die aufwendige Korrelation erfolgt automatisch, sodass Sie diese Quellen nicht manuell zusammenführen müssen.

Wie GuardDuty ist Detective agentless and fully managed. Sie aktivieren den Service, und er ruft die benötigten Daten ab; Protokollpipelines oder Speicher müssen Sie nicht aufbauen. Außerdem speichert Detective etwa ein Jahr verknüpfter Aktivitäten. So erhalten Sie für Untersuchungen einen langen Rückblick, ohne die Aufbewahrung selbst verwalten zu müssen.

Detective verwendet maschinelles Lernen und statistische Verfahren, um zu lernen, was für jede Entität normal ist, und hebt anschließend Abweichungen hervor. Durch die Kenntnis der Basislinie kann ein Untersuchender beispielsweise erkennen, dass eine Instance plötzlich deutlich mehr API-Aufrufe als üblich ausgeführt hat – ein starkes Anzeichen für eine Kompromittierung.

Der Graph wird als interactive visualizations dargestellt: Zeitachsen, Profile für jede Entität und Aktivitätsdiagramme. Ein Analyst kann sich durch zusammengehörige Entitäten klicken und so einer Spur folgen. Dieser visuelle Ansatz verwandelt stundenlanges Durchsuchen von Protokollen in eine geführte Untersuchung.

Ein wichtiger Unterschied: GuardDuty detects, Detective investigates. GuardDuty erzeugt einen Fund; Detective hilft Ihnen, dessen Umfang, Ursache und Auswirkungen zu bestimmen. Beide Services ergänzen sich. In der Prüfung sollten Sie Detective auswählen, wenn es um Untersuchung und Ursachenanalyse geht.

Detective lässt sich in AWS Organizations integrieren und unterstützt einen delegated administrator. Dadurch kann ein Sicherheitskonto Aktivitäten in allen Mitgliedskonten in einem einzigen Verhaltensgraphen untersuchen. Dies entspricht dem Ansatz von GuardDuty und Security Hub und ermöglicht einen einheitlichen Betrieb über mehrere Konten hinweg.

Detective speichert etwa a year of linked activity im Verhaltensgraphen – deutlich länger als die standardmäßige Aufbewahrung von Funden durch GuardDuty. Dieser lange Rückblick zeigt Untersuchenden, ob verdächtiges Verhalten bereits vor Wochen begonnen hat, und macht langsame, unauffällige Eindringversuche sichtbar, die bei einem kurzen Zeitraum unentdeckt blieben. Die erweiterte Historie ist ein wesentlicher Grund dafür, dass Detective die Erkennung ergänzt, statt sie zu duplizieren.

Ein praktisches Detail: Detective setzt voraus, dass GuardDuty to have been enabled eine gewisse Zeit lang aktiviert war (etwa 48 Stunden), bevor Sie Detective aktivieren können. Der Grund ist, dass Detective GuardDuty-Funde und dieselbe zugrunde liegende Telemetrie verwendet, um den Verhaltensgraphen aufzubauen. Die beiden Services sind für das Zusammenspiel ausgelegt: Die Erkennung liefert die Grundlage für die Untersuchung.

Unterscheiden Sie Erkennung und Untersuchung.

Detective ist der agentenlose, verwaltete Service für investigation. Er verknüpft CloudTrail, VPC Flow Logs, GuardDuty-Funde und EKS-Auditprotokolle zu einem behavior graph aus Entitäten und Interaktionen, bildet normales Verhalten als Basislinie ab und stellt interaktive Visualisierungen mit einem Rückblick von etwa einem Jahr bereit. GuardDuty erkennt Bedrohungen; Detective untersucht Ursache und Umfang.