Remonter à partir d'un résultat GuardDuty

Les investigations commencent généralement par une alerte. Detective s’intègre étroitement à GuardDuty afin que vous puissiez passer directement d’une détection au graphe des comportements. En un clic, vous passez de « quelque chose ne va pas » à une vue riche et contextualisée de tout ce qui est lié à cette détection.

Dans GuardDuty et Security Hub, les détections proposent l’action Investiguer dans Detective. En la sélectionnant, vous ouvrez Detective, centré sur les entités de cette détection, telles que l’instance affectée, le rôle IAM ou l’adresse IP distante. Le contexte est préchargé, ce qui vous fait gagner du temps lors de la configuration.

Le changement de contexte vous amène au profil d’une entité, une page qui résume l’activité d’une entité : son comportement habituel, ses changements récents et ses connexions. Depuis l’instance concernée par la détection, par exemple, vous voyez immédiatement le volume de ses appels d’API, son activité réseau et toute anomalie éventuelle.

Depuis une entité, vous pouvez passer aux entités associées : l’adresse IP qui a contacté l’instance, le rôle dont les informations d’identification ont été utilisées ou d’autres ressources auxquelles l’auteur a accédé. Chaque changement de contexte élargit la vue et vous permet de retracer pas à pas le parcours d’un attaquant dans l’environnement.

Un objectif essentiel consiste à déterminer le rayon d’impact : à quoi d’autre l’auteur a-t-il accédé ? Le graphe associé de Detective montre si une seule instance a été touchée ou si les informations d’identification se sont propagées à d’autres ressources. Cette évaluation du périmètre détermine l’ampleur nécessaire de votre confinement.

Le changement de contexte vous aide également à déterminer si une détection est un véritable positif. Si l’activité associée correspond à un modèle connu et inoffensif, vous pouvez l’écarter en toute confiance. Si elle révèle un comportement plus suspect, vous le faites remonter. Dans les deux cas, vous agissez sur la base de preuves et non de suppositions.

Lorsque vous pivotez, Detective affiche l’activité autour de la fenêtre temporelle de la détection et la compare à la référence historique de l’entité. Constater qu’un pic a commencé exactement au moment où la détection s’est déclenchée renforce l’hypothèse qu’elle signale une intrusion réelle.

Grâce à l’intégration à l’organisation, un pivot peut suivre l’activité entre plusieurs comptes. Si un identifiant compromis a été utilisé dans un deuxième compte, Detective peut l’afficher dans le même graphe. C’est essentiel, car les attaquants se déplacent souvent latéralement entre les comptes.

En éliminant la corrélation manuelle des journaux, le pivot réduit la durée de l’investigation, qui passe de plusieurs heures à quelques minutes. Une compréhension plus rapide permet de contenir plus vite l’incident, ce qui limite directement les dommages. L’examen présente Detective comme l’accélérateur entre une alerte GuardDuty et une réponse efficace.

L’action Investigate in Detective ne se limite pas à GuardDuty. Les détections de Security Hub provenant de GuardDuty proposent également ce pivot. Ainsi, un analyste qui trie les résultats dans le tableau de bord agrégé peut accéder directement au graphe des comportements. La console centrale et l’outil d’investigation sont donc connectés directement, ce qui assure une chaîne fluide entre détection, agrégation et investigation.

Detective peut regrouper les détections associées dans des groupes de détections, en reliant automatiquement les détections, les entités et l’activité qui les relie au sein d’une seule unité à examiner. Au lieu de pivoter depuis une détection isolée, vous commencez avec un groupe qui présente déjà une histoire cohérente. L’investigation est ainsi accélérée, car l’incident complet est mis en évidence plutôt qu’une seule alerte à la fois.

Suivez le flux de travail d’investigation.

Detective s’intègre à GuardDuty grâce à l’action Investigate in Detective. Le pivot ouvre un profil d’entité, vous permet de suivre les entités associées afin d’évaluer le rayon d’impact, compare l’activité à une référence sensible au temps et peut suivre les déplacements latéraux entre plusieurs comptes. Une détection devient ainsi le point de départ d’une investigation et d’une réponse rapides, fondées sur des éléments probants.