Analizzare entità e intervalli temporali

Un'indagine efficace combina due domande: quali entità erano coinvolte e in quale intervallo di tempo hanno mostrato un comportamento anomalo? Detective è progettato per entrambi gli aspetti. Imparare a interpretare la rappresentazione delle entità e degli intervalli temporali consente di leggere un grafo in modo rapido e sicuro.

In Detective, un'entità è qualsiasi elemento monitorato dal grafo: un utente o un ruolo IAM, un'istanza EC2, un account AWS, un indirizzo IP, un user agent o un rilevamento. Ogni entità dispone di una pagina del profilo che riepiloga il suo comportamento e le connessioni stabilite.

Un profilo dell'entità raccoglie in pannelli tutte le informazioni che Detective conosce su una singola entità: volume delle chiamate API nel tempo, aree geografiche dell'attività, risorse connesse e rilevamenti osservati. È la pagina in cui comprendere a fondo un attore o una risorsa.

Ogni profilo è delimitato da un intervallo temporale di analisi, ovvero il periodo esaminato. Può ampliarlo o ridurlo per concentrarsi sul periodo intorno a un incidente. Detective confronta l'attività interna a questo intervallo con la baseline a lungo termine dell'entità.

Detective mette a confronto il comportamento di baseline con quello osservato nell'intervallo di analisi. Se un ruolo IAM effettua normalmente 50 chiamate all'ora ma ne ha effettuate 5.000 durante l'intervallo, la deviazione risulta immediatamente evidente. Questi confronti consentono di distinguere il normale rumore dalle anomalie reali.

Per i rilevamenti relativi alle identità, Detective mostra le posizioni geografiche e gli IP da cui un'entità ha operato. Se durante l'intervallo di analisi un ruolo viene utilizzato improvvisamente da un Paese sconosciuto, ciò suggerisce fortemente che le credenziali siano state sottratte. I modelli relativi alla posizione sono tra gli indicatori investigativi più chiari.

Detective analizza le chiamate API effettuate da un'entità: quali azioni ha eseguito, con quale frequenza e se sono nuove per quell'entità. Un picco di azioni insolite, come la creazione di utenti o la modifica di policy durante l'intervallo, indica un attaccante attivo e non un utilizzo ordinario.

Ogni profilo elenca le entità connesse: gli IP che hanno chiamato un ruolo, le istanze raggiunte da una credenziale e gli account coinvolti. Seguendo queste connessioni nell'intervallo di tempo si ricostruisce la catena di attività che compone l'incidente.

L'indagine è iterativa: si imposta un intervallo di analisi, si individua un elemento e poi si modifica l'intervallo per acquisire una parte più ampia dell'attività. Ridurlo consente di isolare l'evento preciso; ampliarlo rivela attività di ricognizione precedenti o movimenti laterali successivi. Detective rende rapida questa ridefinizione dell'ambito.

Detective presenta il comportamento di un'entità come una sequenza temporale dell'attività nell'intervallo di analisi, con grafici che rendono visibili a colpo d'occhio picchi e interruzioni. Passando il puntatore su un punto o selezionandolo vengono mostrate le chiamate o le connessioni sottostanti. Imparare a leggere questa sequenza consente di individuare esattamente quando è iniziato il comportamento anomalo, spesso il momento della compromissione.

Detective adatta l'analisi al tipo di entità. Per un ruolo o utente IAM, mette in evidenza l'attività relativa ai ruoli assunti, le geolocalizzazioni e le azioni API; per un'istanza EC2, le connessioni di rete e il volume del traffico; per Kubernetes, l'attività di pod e container ricavata dai log di audit di EKS. Sapere quali indicatori sono rilevanti per ogni tipo di risorsa aiuta a interpretare meglio un profilo durante un incidente.

Legga un'entità nel tempo.

L'analisi di Detective associa le entità (ruoli, utenti, istanze, IP e account) a un intervallo temporale di analisi. I profili delle entità mostrano il volume delle chiamate API, le geolocalizzazioni e le entità connesse, confrontando l'attività nell'intervallo con una baseline a lungo termine. Deviazioni come picchi nelle chiamate API o attività provenienti da nuove posizioni rivelano una compromissione; l'intervallo viene quindi ridefinito iterativamente per seguire le evidenze.