エンティティと時間範囲の分析

効果的な調査では、2 つの点を確認します。関与したのはどのエンティティか、そして異常な動作をしていたのはどの期間か、という点です。Detective はこの両方を中心に設計されています。エンティティと時間範囲の表示方法を理解すれば、グラフをすばやく確実に読み取れるようになります。

Detective におけるエンティティとは、グラフが追跡するあらゆる対象です。IAM ユーザーやロール、EC2 インスタンス、AWS アカウント、IP アドレス、ユーザーエージェント、検出結果そのものなどが該当します。それぞれに、どのように動作し、何と接続していたかをまとめたプロファイルページがあります。

エンティティプロファイルには、1 つのエンティティについて Detective が把握している情報がパネル形式で集約されます。API 呼び出しの時間経過に伴う量、アクティビティの地理的位置、接続されたリソース、観測された検出結果などを確認できます。1 つのアクターまたはリソースを詳しく理解するための単一のページです。

すべてのプロファイルにはスコープ時間が設定されています。これは分析対象の時間範囲です。インシデント前後の期間に焦点を絞るために、範囲を広げたり狭めたりできます。Detective は、その範囲内のアクティビティをエンティティの長期的なベースラインと比較します。

Detective はベースラインの動作とスコープ内の時間範囲を対比します。IAM ロールが通常は 1 時間あたり 50 回の呼び出しを行うのに、その時間範囲内で 5,000 回行っていた場合、その逸脱は明確に分かります。この比較を読み取ることで、通常のノイズと本当の異常を区別できます。

アイデンティティに関する検出結果では、Detective はエンティティが操作に使用した地理的位置と IPを表示します。通常とは異なる国から、スコープ時間内に突然ロールが使用されていた場合、認証情報の窃取が強く疑われます。位置情報のパターンは、調査における最も明確な兆候の 1 つです。

Detective はエンティティが実行したAPI 呼び出しを、アクションの種類、頻度、そのエンティティにとって新しいものかどうかという観点で詳しく分析します。時間範囲内に、ユーザーの作成やポリシーの変更など、通常とは異なるアクションが急増していれば、日常的な使用ではなく、攻撃者が活動中である可能性を示します。

各プロファイルには接続されたエンティティが一覧表示されます。ロールを呼び出した IP、認証情報がアクセスしたインスタンス、関係するアカウントなどです。時間範囲内でこれらの接続をたどると、インシデントを構成する一連のアクティビティを再現できます。

調査は反復的に行います。スコープ時間を設定し、何かを発見したら、さらに多くのアクティビティを含めるよう時間範囲を調整します。範囲を狭めると特定のイベントを切り出せ、広げると、それ以前の偵察活動や、それ以降の横方向の移動を明らかにできます。Detective では、この範囲の再設定をすばやく行えます。

Detective は、スコープ時間内のエンティティの動作をタイムラインとして表示し、急増や空白を一目で確認できるグラフを提供します。点にカーソルを合わせるかクリックすると、基となる呼び出しや接続が表示されます。このタイムラインの読み取り方を身につけると、異常な動作がいつ始まったかを正確に特定できます。これは多くの場合、侵害が発生した時点を示します。

Detective は、エンティティのタイプに応じて分析内容を調整します。IAM ロールまたはユーザーでは、引き受けたロールのアクティビティ、地理的位置、API アクションを重視します。EC2 インスタンスでは、ネットワーク接続とトラフィック量を重視します。Kubernetesでは、EKS の監査ログからポッドとコンテナのアクティビティを確認します。各リソースタイプで重要な兆候を把握しておくと、インシデント発生時にプロファイルをより的確に読み取れます。

エンティティの時間経過を読み取ってください。

Detective の分析では、エンティティ（ロール、ユーザー、インスタンス、IP、アカウント）とスコープ時間の範囲を組み合わせます。エンティティプロファイルには、API 呼び出し量、地理的位置、接続されたエンティティが表示され、スコープ内のアクティビティが長期的なベースラインと比較されます。API 呼び出しの急増や新しい場所からのアクティビティなどの逸脱から侵害を見つけ、証拠を追うために時間範囲を繰り返し調整します。