Cara Detective Membina Graf Tingkah Laku

Pengesanan memberitahu anda bahawa sesuatu tidak betul; penyiasatan memberitahu anda perkara yang sebenarnya berlaku. Amazon Detective ialah perkhidmatan yang dibina untuk penyiasatan. Ia menganalisis aktiviti secara automatik dan membina model visual supaya anda dapat memahami keseluruhan cerita di sebalik sesuatu penemuan, bukan sekadar amarannya.

Detective menyerap dan memautkan data log secara berterusan untuk membina graf tingkah laku dari semasa ke semasa. Daripada memadankan log secara manual merentas perkhidmatan, anda memperoleh gambaran yang telah dibina dan boleh dibuat pertanyaan tentang cara entiti seperti akaun, tika dan alamat IP berinteraksi.

Binaan terasnya ialah graf tingkah laku: nod ialah entiti (seperti peranan IAM, tika EC2, alamat IP dan akaun), manakala sisi ialah interaksi dan aktiviti antara entiti tersebut. Graf ini merekod garis dasar normal dan penyimpangan, lalu memberikan penyiasat sebuah peta, bukannya log mentah.

Detective membina grafnya daripada jenis telemetri yang sama seperti pengesanan: peristiwa pengurusan CloudTrail, VPC Flow Logs dan penemuan GuardDuty, serta log audit EKS. Ia melakukan pemadanan yang kompleks secara automatik, jadi anda tidak perlu menggabungkan sumber-sumber ini secara manual.

Seperti GuardDuty, Detective adalah tanpa ejen dan terurus sepenuhnya. Anda hanya mengaktifkannya dan ia mengambil data yang diperlukan; anda tidak perlu membina saluran paip log atau storan. Ia juga menyimpan kira-kira setahun aktiviti yang dipautkan, lalu menyediakan tempoh tinjauan lampau yang panjang untuk penyiasatan tanpa anda mengurus pengekalan data.

Detective menggunakan pembelajaran mesin dan statistik untuk mempelajari perkara yang normal bagi setiap entiti, kemudian menyerlahkan penyimpangan. Dengan mengetahui garis dasar, penyiasat dapat melihat bahawa, misalnya, sesuatu tika tiba-tiba membuat jauh lebih banyak panggilan API daripada biasa, yang merupakan petunjuk kuat berlakunya pencerobohan.

Graf dipaparkan sebagai visualisasi interaktif: garis masa, profil bagi setiap entiti dan carta aktiviti. Penganalisis mengklik entiti berkaitan untuk mengikuti jejak. Pendekatan visual ini menukarkan kerja mencari dalam log selama berjam-jam kepada penerokaan berpandu.

Perbezaan utama: GuardDuty mengesan, Detective menyiasat. GuardDuty menghasilkan penemuan; Detective membantu anda menentukan skop, punca akar dan kesannya. Kedua-duanya saling melengkapi, dan peperiksaan menjangkakan anda memilih Detective apabila keperluannya ialah penyiasatan dan analisis punca akar.

Detective disepadukan dengan AWS Organizations dan menyokong pentadbir yang diwakilkan, supaya akaun keselamatan boleh menyiasat aktiviti merentas semua akaun ahli dalam satu graf tingkah laku. Ini menyerupai GuardDuty dan Security Hub bagi operasi berbilang akaun yang konsisten.

Detective menyimpan kira-kira setahun aktiviti yang dipautkan dalam graf tingkah laku, jauh lebih lama daripada pengekalan penemuan lalai GuardDuty. Tempoh tinjauan lampau yang panjang ini membolehkan penyiasat melihat sama ada tingkah laku mencurigakan bermula beberapa minggu sebelumnya, sekali gus mendedahkan pencerobohan perlahan dan tersembunyi yang mungkin terlepas daripada tempoh singkat. Sejarah lanjutan ini ialah sebab utama Detective melengkapi, bukannya menduplikasi, pengesanan.

Perincian praktikal: Detective memerlukan GuardDuty telah diaktifkan untuk suatu tempoh (kira-kira 48 jam) sebelum anda boleh mengaktifkan Detective. Hal ini demikian kerana Detective menggunakan penemuan GuardDuty dan telemetri asas yang sama untuk memulakan graf tingkah lakunya. Kedua-dua perkhidmatan ini direka untuk berfungsi bersama, dengan pengesanan membekalkan data kepada penyiasatan.

Detective ialah perkhidmatan penyiasatan terurus tanpa ejen. Ia memautkan CloudTrail, VPC Flow Logs, penemuan GuardDuty dan log audit EKS ke dalam graf tingkah laku entiti serta interaksi, membina garis dasar tingkah laku normal dan mempersembahkan visualisasi interaktif dengan tempoh tinjauan lampau kira-kira setahun. GuardDuty mengesan; Detective menyiasat punca akar dan skop.