Entitäten und Zeitfenster analysieren

Eine wirksame Untersuchung verbindet zwei Fragen: Welche Entitäten waren beteiligt, und über welchen Zeitraum verhielten sie sich ungewöhnlich? Detective basiert auf beiden Aspekten. Wenn Sie beherrschen, wie Entitäten und Zeitfenster dargestellt werden, können Sie einen Graphen schnell und sicher lesen.

In Detective ist eine Entität alles, was der Graph verfolgt: ein IAM-Benutzer oder eine IAM-Rolle, eine EC2-Instanz, ein AWS-Account, eine IP-Adresse, ein User-Agent oder ein Finding selbst. Für jede Entität gibt es eine Profilseite, die ihr Verhalten und ihre Verbindungen zusammenfasst.

Ein Entitätsprofil fasst alles, was Detective über eine Entität weiß, in mehreren Bereichen zusammen: das Volumen von API-Aufrufen im Zeitverlauf, geografische Standorte der Aktivitäten, verbundene Ressourcen und erkannte Findings. Auf dieser einzelnen Seite können Sie einen Akteur oder eine Ressource eingehend verstehen.

Jedes Profil ist durch eine Geltungszeit begrenzt, also das Zeitfenster, das Sie analysieren. Sie können es erweitern oder verkleinern, um sich auf den Zeitraum rund um einen Vorfall zu konzentrieren. Detective vergleicht die Aktivitäten innerhalb dieses Fensters mit der längerfristigen Baseline der Entität.

Detective stellt das Verhalten der Baseline dem Verhalten im Geltungszeitraum gegenüber. Wenn eine IAM-Rolle normalerweise 50 Aufrufe pro Stunde tätigt, im betreffenden Zeitraum jedoch 5.000, fällt diese Abweichung sofort auf. Anhand solcher Vergleiche unterscheiden Sie normale Schwankungen von echten Anomalien.

Bei identitätsbezogenen Findings zeigt Detective die geografischen Standorte und IPs, von denen aus eine Entität aktiv war. Wenn eine Rolle während der Geltungszeit plötzlich aus einem unbekannten Land verwendet wurde, deutet dies stark auf gestohlene Zugangsdaten hin. Standortmuster gehören zu den eindeutigsten Untersuchungssignalen.

Detective schlüsselt die API-Aufrufe einer Entität auf: welche Aktionen ausgeführt wurden, wie häufig sie vorkamen und ob sie für diese Entität neu sind. Ein Ausbruch ungewöhnlicher Aktionen wie dem Anlegen von Benutzern oder dem Ändern von Richtlinien während des Zeitfensters deutet auf einen aktiven Angreifer und nicht auf eine routinemäßige Nutzung hin.

Jedes Profil führt verbundene Entitäten auf: die IPs, von denen aus eine Rolle aufgerufen wurde, die Instanzen, auf die ein Zugangselement zugegriffen hat, und die beteiligten Accounts. Wenn Sie diese Verbindungen innerhalb des Zeitfensters verfolgen, rekonstruieren Sie die Aktivitätskette, aus der der Vorfall besteht.

Eine Untersuchung verläuft iterativ: Sie legen eine Geltungszeit fest, entdecken etwas und passen anschließend das Fenster an, um weitere Aktivitäten zu erfassen. Durch eine Eingrenzung isolieren Sie das genaue Ereignis; durch eine Erweiterung werden frühere Aufklärung oder spätere laterale Bewegungen sichtbar. Detective macht diese erneute Eingrenzung schnell möglich.

Detective stellt das Verhalten einer Entität als Zeitleiste der Aktivitäten über die Geltungszeit dar. Diagramme machen Anstiege und Lücken auf einen Blick sichtbar. Wenn Sie auf einen Punkt zeigen oder klicken, werden die zugrunde liegenden Aufrufe oder Verbindungen angezeigt. Wenn Sie diese Zeitleiste lesen können, erkennen Sie genau, wann das ungewöhnliche Verhalten begann – häufig der Zeitpunkt der Kompromittierung.

Detective passt seine Analyse an den Entitätstyp an. Bei einer IAM-Rolle oder einem IAM-Benutzer liegt der Schwerpunkt auf Aktivitäten über angenommene Rollen, Geolokalisierungen und API-Aktionen; bei einer EC2-Instanz auf Netzwerkverbindungen und Datenverkehrsvolumen; bei Kubernetes auf Pod- und Containeraktivitäten aus EKS-Auditprotokollen. Wenn Sie wissen, welche Signale für jeden Ressourcentyp relevant sind, können Sie ein Profil während eines Vorfalls gezielter auswerten.

Lesen Sie eine Entität im Zeitverlauf.

Die Detective-Analyse verbindet Entitäten (Rollen, Benutzer, Instanzen, IPs und Accounts) mit einem Zeitfenster für die Geltungszeit. Entitätsprofile zeigen das Volumen von API-Aufrufen, Geolokalisierungen und verbundene Entitäten und vergleichen die Aktivitäten im Geltungsbereich mit einer langfristigen Baseline. Abweichungen wie Spitzen bei API-Aufrufen oder Aktivitäten von neuen Standorten weisen auf eine Kompromittierung hin. Anschließend grenzen Sie das Zeitfenster schrittweise neu ein, um der Beweislage zu folgen.