Partire da un finding di GuardDuty

Le indagini iniziano solitamente da un avviso. Detective si integra strettamente con GuardDuty, consentendo di passare direttamente da un finding al behavior graph. Con un solo clic si passa da "qualcosa non va" a una vista ricca e contestualizzata di tutto ciò che è correlato a quel finding.

In GuardDuty e Security Hub, i finding includono un'azione Investigate in Detective. Selezionandola, Detective si apre con l'attenzione rivolta alle entità indicate nel finding, come l'istanza interessata, il ruolo IAM o l'IP remoto. Il contesto è già caricato, riducendo i tempi di configurazione.

Il passaggio porta al profilo di un'entità, una pagina che riassume l'attività di una singola entità: il comportamento abituale, le modifiche recenti e le connessioni. Partendo, ad esempio, dall'istanza indicata nel finding, è possibile visualizzare immediatamente il volume delle chiamate API, l'attività di rete e le eventuali anomalie.

Da un'entità è possibile passare alle entità correlate: l'IP che ha contattato l'istanza, il ruolo le cui credenziali sono state utilizzate o altre risorse toccate dall'autore dell'attacco. Ogni passaggio amplia il quadro e consente di ricostruire passo dopo passo il percorso dell'attaccante nell'ambiente.

Un obiettivo fondamentale è determinare il blast radius: quali altre risorse sono state toccate dall'autore dell'attacco? Il grafo correlato di Detective mostra se è stata interessata una sola istanza o se le credenziali si sono propagate ad altre risorse. Questa valutazione determina quanto dovrà essere ampia la strategia di contenimento.

Il passaggio tra le entità aiuta anche a stabilire se un finding sia un vero positivo. Se l'attività correlata corrisponde a un pattern noto e legittimo, è possibile ignorarlo con sicurezza. Se invece rivela ulteriori comportamenti sospetti, è possibile inoltrarlo al livello successivo. In entrambi i casi, le decisioni si basano sulle evidenze e non su supposizioni.

Quando esegue un pivot, Detective mostra l'attività relativa all'intervallo temporale del rilevamento, confrontandola con la baseline storica dell'entità. Se si osserva che un picco è iniziato esattamente quando è stato generato il rilevamento, aumenta la probabilità che quest'ultimo segnali una vera intrusione.

Con l'integrazione dell'organizzazione, un pivot può seguire l'attività tra account. Se una credenziale compromessa è stata utilizzata in un secondo account, Detective può mostrarla nello stesso grafo. Questo è fondamentale perché gli attaccanti spesso si spostano lateralmente tra gli account.

Eliminando la correlazione manuale dei log, il pivoting riduce un'indagine da ore a minuti. Comprendere più rapidamente la situazione consente di contenerla prima, limitando direttamente i danni. Nell'esame, Detective è presentato come l'acceleratore tra un avviso di GuardDuty e una risposta efficace.

L'azione Investigate in Detective non è limitata a GuardDuty. Anche i rilevamenti di Security Hub provenienti da GuardDuty offrono il pivot, quindi un analista che esegue il triage dal pannello aggregato può passare direttamente al grafo del comportamento. In questo modo la console centrale e lo strumento di indagine sono collegati direttamente, mantenendo fluido il flusso di rilevamento, aggregazione e indagine.

Detective può raggruppare i rilevamenti correlati in gruppi di rilevamenti, collegando automaticamente rilevamenti, entità e attività che li correlano in un'unica unità analizzabile. Invece di eseguire il pivot da un singolo rilevamento, si parte da un gruppo che descrive già una sequenza coordinata di eventi. Questo accelera l'indagine mostrando l'intero incidente anziché un solo avviso alla volta.

Segua il flusso di lavoro dell'indagine.

Detective si integra con GuardDuty tramite l'azione Investigate in Detective. Il pivoting apre un profilo dell'entità, consente di seguire le entità correlate per determinare la portata dell'attacco, confronta l'attività con una baseline basata sul tempo e può seguire i movimenti laterali tra account. In questo modo un rilevamento si trasforma rapidamente in un'indagine e una risposta basate sulle evidenze.