Vanuit een GuardDuty-finding verder zoeken

Onderzoeken beginnen meestal met een waarschuwing. Detective is nauw geïntegreerd met GuardDuty, zodat je rechtstreeks vanuit een bevinding kunt doorklikken naar de gedragsgrafiek. Met één klik ga je van "er is iets mis" naar een rijk, contextueel overzicht van alles wat met die bevinding te maken heeft.

In GuardDuty en Security Hub bevatten bevindingen de actie Investigate in Detective. Als je deze kiest, wordt Detective geopend met de entiteiten uit die bevinding centraal, zoals de getroffen instantie, de IAM-rol of het externe IP-adres. De context is vooraf geladen, waardoor je tijd bespaart bij het instellen.

Na het doorklikken kom je op een entiteitsprofiel, een pagina met een samenvatting van de activiteit van één entiteit: het gebruikelijke gedrag, recente wijzigingen en verbindingen. Vanuit de instantie in de bevinding zie je bijvoorbeeld meteen het volume aan API-aanroepen, netwerkactiviteit en eventuele afwijkingen.

Vanuit één entiteit schakel je door naar gerelateerde entiteiten: het IP-adres dat contact maakte met de instantie, de rol waarvan de referenties zijn gebruikt of andere resources die de aanvaller heeft aangeraakt. Elke stap breidt het beeld uit, zodat je het pad van een aanvaller stap voor stap door de omgeving kunt volgen.

Een belangrijk doel is het bepalen van de reikwijdte van de aanval: wat heeft de aanvaller nog meer aangeraakt? De gekoppelde grafiek van Detective laat zien of één instantie is getroffen of dat referenties zich naar andere resources hebben verspreid. Deze afbakening bepaalt hoe breed je inperking moet zijn.

Doorklikken helpt je ook bepalen of een bevinding een echte positieve detectie is. Als de gerelateerde activiteit overeenkomt met een bekend, onschadelijk patroon, kun je de bevinding vol vertrouwen afwijzen. Als er meer verdacht gedrag zichtbaar wordt, escaleer je de situatie. In beide gevallen handel je op basis van bewijs en niet op basis van aannames.

Wanneer je pivot, laat Detective activiteit zien rond het tijdvenster van de bevinding en vergelijkt die met de historische basislijn van de entiteit. Als je ziet dat een piek precies begon toen de bevinding werd gegenereerd, wordt het aannemelijker dat de bevinding op een echte inbraak wijst.

Met organisatie-integratie kan een pivot activiteit tussen accounts volgen. Als een gecompromitteerde referentie in een tweede account is gebruikt, kan Detective die in dezelfde grafiek tonen. Dit is belangrijk omdat aanvallers zich vaak zijwaarts tussen accounts verplaatsen.

Door handmatige correlatie van logboeken overbodig te maken, verkort pivotten een onderzoek van uren naar minuten. Sneller inzicht betekent snellere indamming, waardoor de schade direct wordt beperkt. Het examen presenteert Detective als de versneller tussen een GuardDuty-melding en een effectieve reactie.

De actie Investigate in Detective is niet beperkt tot GuardDuty. Security Hub-bevindingen die afkomstig zijn van GuardDuty bieden deze pivotmogelijkheid ook. Een analist die het samengevoegde dashboard beoordeelt, kan dus rechtstreeks naar de gedragsgrafiek springen. Zo zijn de centrale console en het onderzoeksprogramma direct met elkaar verbonden en blijft de stroom van detecteren, samenvoegen en onderzoeken naadloos.

Detective kan gerelateerde bevindingen clusteren in bevindingengroepen en automatisch bevindingen, entiteiten en de activiteit die ze verbindt samenbrengen in één te onderzoeken eenheid. In plaats van vanuit één bevinding te pivotten, begin je met een groep die al een samenhangend verhaal vertelt. Dit versnelt het onderzoek doordat het volledige incident zichtbaar wordt, in plaats van steeds één melding.

Detective integreert met GuardDuty via de actie Investigate in Detective. Pivotten opent een entiteitsprofiel, laat je gerelateerde entiteiten volgen om de reikwijdte van de aanval te bepalen, vergelijkt activiteit met een tijdsbewuste basislijn en kan zijwaartse bewegingen tussen accounts volgen. Zo wordt een bevinding omgezet in snel, op bewijs gebaseerd onderzoek en snelle respons.