Menelusuri dari Temuan GuardDuty

Investigasi biasanya dimulai dari sebuah peringatan. Detective terintegrasi erat dengan GuardDuty sehingga Anda dapat beralih langsung dari sebuah temuan ke grafik perilaku. Dengan satu klik, Anda berpindah dari "ada sesuatu yang salah" ke tampilan kaya konteks yang mencakup segala sesuatu yang terkait dengan temuan tersebut.

Di GuardDuty dan Security Hub, temuan memiliki tindakan Investigate in Detective. Saat Anda memilihnya, Detective terbuka dengan fokus pada entitas dalam temuan tersebut, seperti instans yang terdampak, peran IAM, atau IP jarak jauh. Konteksnya telah dimuat sebelumnya sehingga menghemat waktu penyiapan.

Beralih dari temuan akan membawa Anda ke profil entitas, yaitu halaman yang merangkum aktivitas satu entitas: perilaku biasanya, perubahan terbaru, dan koneksinya. Misalnya, dari instans yang tercantum dalam temuan, Anda dapat langsung melihat volume panggilan API, aktivitas jaringan, dan anomali apa pun.

Dari satu entitas, Anda dapat beralih ke entitas terkait: IP yang menghubungi instans, peran yang kredensialnya digunakan, atau sumber daya lain yang disentuh pelaku. Setiap perpindahan memperluas gambaran, sehingga Anda dapat menelusuri jalur penyerang di lingkungan secara bertahap.

Salah satu tujuan utama adalah menentukan cakupan dampak: apa lagi yang disentuh pelaku? Grafik terhubung Detective menunjukkan apakah hanya satu instans yang terdampak atau apakah kredensial telah menyebar ke sumber daya lain. Penentuan cakupan ini menentukan seberapa luas pembatasan yang harus Anda lakukan.

Beralih dari satu entitas ke entitas lain juga membantu Anda menentukan apakah sebuah temuan merupakan positif sejati. Jika aktivitas terkait sesuai dengan pola yang diketahui dan tidak berbahaya, Anda dapat mengabaikannya dengan yakin. Jika aktivitas tersebut mengungkapkan perilaku yang lebih mencurigakan, Anda dapat melakukan eskalasi. Bagaimanapun, tindakan Anda didasarkan pada bukti, bukan dugaan.

Saat Anda beralih ke investigasi, Detective menampilkan aktivitas di sekitar rentang waktu temuan dan membandingkannya dengan tolok ukur historis entitas tersebut. Melihat bahwa lonjakan dimulai tepat saat temuan muncul memperkuat dugaan bahwa temuan itu menandai penyusupan yang sebenarnya.

Dengan integrasi organisasi, peralihan dapat mengikuti aktivitas lintas akun. Jika kredensial yang telah disusupi digunakan di akun kedua, Detective dapat menampilkannya dalam grafik yang sama. Hal ini sangat penting karena penyerang sering berpindah secara lateral antarakun.

Dengan menghilangkan korelasi log secara manual, peralihan mempersingkat investigasi dari hitungan jam menjadi hitungan menit. Pemahaman yang lebih cepat berarti penahanan yang lebih cepat, sehingga secara langsung membatasi kerusakan. Dalam ujian, Detective digambarkan sebagai pengakselerasi antara peringatan GuardDuty dan respons yang efektif.

Tindakan Investigate in Detective tidak terbatas pada GuardDuty. Temuan Security Hub yang berasal dari GuardDuty juga menyediakan opsi peralihan, sehingga analis yang melakukan triase pada dasbor teragregasi dapat langsung masuk ke grafik perilaku. Artinya, konsol pusat dan alat investigasi terhubung secara langsung, sehingga alur deteksi-agregasi-investigasi tetap lancar.

Detective dapat mengelompokkan temuan yang berkaitan ke dalam kelompok temuan, lalu secara otomatis menghubungkan temuan, entitas, dan aktivitas yang mengaitkannya menjadi satu unit yang dapat diinvestigasi. Alih-alih beralih dari satu temuan, Anda memulai dari kelompok yang sudah menyajikan rangkaian kejadian terkoordinasi. Hal ini mempercepat investigasi dengan menampilkan keseluruhan insiden, bukan satu peringatan setiap kali.

Detective terintegrasi dengan GuardDuty melalui tindakan Investigate in Detective. Peralihan membuka profil entitas, memungkinkan Anda mengikuti entitas terkait untuk menentukan cakupan dampak, membandingkan aktivitas dengan tolok ukur berbasis waktu, dan mengikuti pergerakan lateral lintas akun. Dengan demikian, temuan dapat diubah menjadi investigasi dan respons yang cepat serta berbasis bukti.