Cara Detective Membangun Grafik Perilaku

Deteksi memberi tahu Anda bahwa ada sesuatu yang salah; investigasi memberi tahu Anda apa yang sebenarnya terjadi. Amazon Detective adalah layanan yang dibuat untuk investigasi. Layanan ini menganalisis aktivitas secara otomatis dan membangun model visual, sehingga Anda dapat memahami keseluruhan cerita di balik sebuah temuan, bukan sekadar peringatannya.

Detective secara terus-menerus memasukkan dan menghubungkan data log untuk membangun grafik perilaku dari waktu ke waktu. Alih-alih menghubungkan log secara manual di berbagai layanan, Anda mendapatkan gambaran yang telah disiapkan sebelumnya dan dapat dibuat kueri tentang interaksi entitas seperti akun, instans, dan alamat IP.

Struktur intinya adalah grafik perilaku: simpulnya merupakan entitas (seperti peran IAM, instans EC2, alamat IP, dan akun), sedangkan sisinya merupakan interaksi dan aktivitas di antara entitas tersebut. Grafik ini merekam pola normal dan penyimpangan, sehingga penyelidik mendapatkan peta, bukan log mentah.

Detective membangun grafiknya dari jenis telemetri yang sama dengan deteksi: kejadian pengelolaan CloudTrail, VPC Flow Logs, dan temuan GuardDuty, ditambah log audit EKS. Detective melakukan korelasi berat ini secara otomatis, sehingga Anda tidak perlu menggabungkan sumber-sumber tersebut secara manual.

Seperti GuardDuty, Detective bersifat tanpa agen dan dikelola sepenuhnya. Anda mengaktifkannya dan layanan ini mengambil data yang diperlukan; Anda tidak perlu membangun alur pemrosesan log atau penyimpanan. Detective juga menyimpan aktivitas yang telah dihubungkan selama kira-kira satu tahun, sehingga investigasi dapat menelusuri riwayat jauh ke belakang tanpa Anda mengelola masa penyimpanan.

Detective menggunakan pembelajaran mesin dan statistik untuk mempelajari hal yang normal bagi setiap entitas, lalu menyoroti penyimpangan. Dengan mengetahui dasar perilaku tersebut, penyelidik dapat melihat bahwa, misalnya, sebuah instans tiba-tiba melakukan jauh lebih banyak panggilan API daripada biasanya—sinyal kuat bahwa instans tersebut telah disusupi.

Grafik ditampilkan sebagai visualisasi interaktif: linimasa, profil setiap entitas, dan bagan aktivitas. Analis mengeklik entitas terkait untuk mengikuti jejak. Pendekatan visual ini mengubah pencarian dalam log selama berjam-jam menjadi eksplorasi terpandu.

Perbedaan pentingnya adalah: GuardDuty mendeteksi, Detective menginvestigasi. GuardDuty menghasilkan temuan; Detective membantu Anda menentukan cakupan, akar penyebab, dan dampaknya. Keduanya saling melengkapi, dan ujian mengharapkan Anda memilih Detective ketika kebutuhannya adalah investigasi dan analisis akar penyebab.

Detective terintegrasi dengan AWS Organizations dan mendukung administrator yang didelegasikan, sehingga akun keamanan dapat menginvestigasi aktivitas di seluruh akun anggota dalam satu grafik perilaku. Hal ini serupa dengan GuardDuty dan Security Hub untuk operasi multi-akun yang konsisten.

Detective menyimpan aktivitas yang telah dihubungkan selama satu tahun dalam grafik perilaku, jauh lebih lama daripada masa penyimpanan temuan bawaan GuardDuty. Riwayat yang panjang ini memungkinkan penyelidik melihat apakah perilaku mencurigakan telah dimulai berminggu-minggu sebelumnya, sehingga intrusi lambat dan terselubung yang mungkin terlewat dalam rentang waktu singkat dapat terungkap. Riwayat yang panjang ini menjadi alasan utama Detective melengkapi, bukan menduplikasi, deteksi.

Hal praktis yang perlu diketahui: Detective mengharuskan GuardDuty telah diaktifkan selama suatu periode (sekitar 48 jam) sebelum Anda dapat mengaktifkan Detective. Hal ini karena Detective menggunakan temuan GuardDuty dan telemetri dasar yang sama untuk mengisi grafik perilakunya. Kedua layanan ini dirancang untuk bekerja bersama, dengan deteksi yang memasok data bagi investigasi.

Bedakan deteksi dari investigasi.

Detective adalah layanan investigasi yang dikelola dan tidak memerlukan agen. Layanan ini menghubungkan CloudTrail, VPC Flow Logs, temuan GuardDuty, dan log audit EKS ke dalam grafik perilaku yang berisi entitas dan interaksi, menetapkan dasar perilaku normal, serta menampilkan visualisasi interaktif dengan riwayat sekitar satu tahun. GuardDuty mendeteksi; Detective menginvestigasi akar penyebab dan cakupan.