Menganalisis Entitas dan Jendela Waktu

Investigasi yang efektif menggabungkan dua pertanyaan: entitas mana yang terlibat, dan selama rentang waktu berapa entitas tersebut berperilaku tidak wajar? Detective dibangun berdasarkan keduanya. Dengan menguasai cara Detective menyajikan entitas dan rentang waktu, Anda dapat membaca grafik dengan cepat dan yakin.

Di Detective, entitas adalah segala sesuatu yang dilacak oleh grafik: pengguna atau peran IAM, instans EC2, akun AWS, alamat IP, agen pengguna, atau temuan itu sendiri. Masing-masing memiliki halaman profil yang merangkum perilakunya dan hal-hal yang terhubung dengannya.

Profil entitas mengumpulkan semua informasi yang diketahui Detective tentang satu entitas ke dalam beberapa panel: volume panggilan API dari waktu ke waktu, lokasi geografis aktivitas, sumber daya yang terhubung, dan temuan yang teramati. Inilah satu halaman untuk memahami secara mendalam satu pelaku atau sumber daya.

Setiap profil dibatasi oleh waktu cakupan, yaitu rentang waktu yang sedang Anda analisis. Anda dapat memperluas atau mempersempitnya untuk berfokus pada periode di sekitar insiden. Detective membandingkan aktivitas dalam rentang tersebut dengan tolok ukur jangka panjang entitas.

Detective membandingkan perilaku tolok ukur dengan perilaku dalam rentang cakupan. Jika peran IAM biasanya melakukan 50 panggilan per jam, tetapi melakukan 5.000 panggilan selama rentang tersebut, penyimpangan itu akan terlihat jelas. Dengan membaca perbandingan ini, Anda dapat membedakan gangguan normal dari anomali yang sebenarnya.

Untuk temuan terkait identitas, Detective menampilkan lokasi geografis dan IP tempat entitas melakukan aktivitas. Peran yang tiba-tiba digunakan dari negara yang tidak dikenal selama waktu cakupan sangat mengindikasikan kredensial yang dicuri. Pola lokasi adalah salah satu sinyal investigasi yang paling jelas.

Detective menguraikan panggilan API yang dilakukan entitas: tindakan apa yang dilakukan, seberapa sering, dan apakah tindakan tersebut baru bagi entitas itu. Ledakan tindakan yang tidak biasa, seperti membuat pengguna atau mengubah kebijakan selama rentang waktu tersebut, menunjukkan adanya penyerang yang sedang aktif, bukan penggunaan rutin.

Setiap profil mencantumkan entitas yang terhubung: IP yang memanggil suatu peran, instans yang diakses kredensial, serta akun yang terlibat. Dengan mengikuti koneksi ini dalam rentang waktu tersebut, Anda dapat merekonstruksi rangkaian aktivitas yang membentuk insiden.

Investigasi bersifat iteratif: Anda menetapkan waktu cakupan, menemukan sesuatu, lalu menyesuaikan rentang waktu untuk menangkap lebih banyak aktivitas. Mempersempit rentang mengisolasi peristiwa yang tepat, sedangkan memperluasnya menyingkap pengintaian sebelumnya atau pergerakan lateral setelahnya. Detective membuat penyesuaian cakupan ini berlangsung cepat.

Detective menyajikan perilaku entitas sebagai linimasa aktivitas selama waktu cakupan, dengan diagram yang membuat lonjakan dan jeda terlihat sekilas. Saat Anda mengarahkan kursor atau mengeklik suatu titik, panggilan atau koneksi yang mendasarinya akan ditampilkan. Dengan belajar membaca linimasa ini, Anda dapat menentukan dengan tepat kapan perilaku abnormal dimulai, yang sering kali menandai saat terjadinya penyusupan.

Detective menyesuaikan analisisnya dengan jenis entitas. Untuk peran atau pengguna IAM, Detective menekankan aktivitas peran yang diasumsikan, geolokasi, dan tindakan API; untuk instans EC2, koneksi jaringan dan volume lalu lintas; untuk Kubernetes, aktivitas pod dan kontainer dari log audit EKS. Mengetahui sinyal yang penting untuk setiap jenis sumber daya akan mempertajam cara Anda membaca profil selama insiden.

Analisis Detective memasangkan entitas (peran, pengguna, instans, IP, akun) dengan rentang waktu cakupan. Profil entitas menampilkan volume panggilan API, geolokasi, dan entitas yang terhubung, serta membandingkan aktivitas dalam cakupan dengan tolok ukur jangka panjang. Penyimpangan seperti lonjakan panggilan API atau aktivitas dari lokasi baru mengungkap penyusupan, dan Anda dapat menyesuaikan rentang cakupan secara iteratif untuk mengikuti bukti.