Investigación a partir de un hallazgo de GuardDuty

Las investigaciones suelen comenzar con una alerta. Detective se integra estrechamente con GuardDuty para que pueda pivot directly from a finding al grafo de comportamiento. Con un solo clic pasa de «algo va mal» a una vista detallada y contextual de todo lo relacionado con ese hallazgo.

En GuardDuty y Security Hub, los hallazgos incluyen la acción Investigate in Detective. Al seleccionarla, se abre Detective centrado en las entidades del hallazgo, como la instancia afectada, el rol de IAM o la IP remota. El contexto ya está cargado, lo que ahorra tiempo de configuración.

Al pivotar, accede al entity profile, una página que resume la actividad de una entidad: su comportamiento habitual, los cambios recientes y sus conexiones. Por ejemplo, desde la instancia del hallazgo puede ver de inmediato el volumen de llamadas a la API, la actividad de red y cualquier anomalía.

Desde una entidad puede pivot to related entities: la IP que se comunicó con la instancia, el rol cuyas credenciales se utilizaron u otros recursos que tocó el actor. Cada pivote amplía la perspectiva y le permite seguir paso a paso la ruta del atacante por el entorno.

Un objetivo fundamental es determinar el blast radius: ¿qué más tocó el actor? El grafo vinculado de Detective muestra si solo se vio afectada una instancia o si las credenciales se propagaron a otros recursos. Este análisis del alcance determina hasta dónde debe llegar la contención.

Pivotar también le ayuda a decidir si un hallazgo es un verdadero positivo. Si la actividad relacionada coincide con un patrón conocido y benigno, puede dismiss el hallazgo con confianza. Si revela un comportamiento más sospechoso, lo escala. En ambos casos, actúa basándose en pruebas y no en suposiciones.

Cuando realiza un pivot, Detective muestra la actividad alrededor de la ventana temporal del hallazgo y la compara con la línea base histórica de la entidad. Comprobar que un pico comenzó exactamente cuando se activó el hallazgo refuerza la conclusión de que este señala una intrusión real.

Con la integración de organizaciones, un pivot puede seguir la actividad entre cuentas. Si una credencial comprometida se utilizó en una segunda cuenta, Detective puede mostrarla en el mismo grafo. Esto es fundamental porque los atacantes suelen desplazarse lateralmente entre cuentas.

Al eliminar la correlación manual de registros, los pivots reducen una investigación de horas a minutos. Comprender la situación más rápido permite contenerla antes, lo que limita directamente los daños. El examen presenta Detective como el acelerador entre una alerta de GuardDuty y una respuesta eficaz.

La acción Investigate in Detective no se limita a GuardDuty. Los hallazgos de Security Hub procedentes de GuardDuty también ofrecen el pivot, por lo que un analista que clasifica el panel agregado puede pasar directamente al grafo de comportamiento. Esto significa que la consola central y la herramienta de investigación están conectadas directamente, lo que mantiene fluido el proceso de detección, agregación e investigación.

Detective puede agrupar los hallazgos relacionados en grupos de hallazgos, conectando automáticamente los hallazgos, las entidades y la actividad que los vincula en una sola unidad investigable. En lugar de iniciar un pivot desde un único hallazgo, comienza con un grupo que ya presenta una historia coordinada. Esto acelera la investigación al mostrar el incidente completo en vez de una alerta cada vez.

Trace el flujo de trabajo de la investigación.

Detective se integra con GuardDuty mediante la acción Investigate in Detective. El pivot abre un perfil de entidad, permite seguir entidades relacionadas para delimitar el radio de impacto, compara la actividad con una línea base que tiene en cuenta el tiempo y puede seguir el movimiento lateral entre cuentas. Esto convierte un hallazgo en una investigación y una respuesta rápidas basadas en evidencias.