Analizowanie encji i przedziałów czasowych

Skuteczne dochodzenie łączy dwa pytania: które encje były zaangażowane oraz w jakim czasie zachowywały się nietypowo? Detective został zaprojektowany z uwzględnieniem obu tych aspektów. Opanowanie sposobu prezentowania encji i okien czasowych pozwala szybko i pewnie odczytywać graf.

W Detective encja to wszystko, co jest śledzone na grafie: użytkownik lub rola IAM, instancja EC2, konto AWS, adres IP, agent użytkownika lub samo ustalenie. Każda encja ma stronę profilu podsumowującą jej zachowanie i powiązania.

Profil encji gromadzi w panelach wszystkie informacje znane Detective na temat jednej encji: liczbę wywołań API w czasie, lokalizacje geograficzne aktywności, połączone zasoby i zaobserwowane ustalenia. Jest to pojedyncza strona, na której można szczegółowo zrozumieć działanie jednego podmiotu lub zasobu.

Każdy profil jest ograniczony przez czas zakresu, czyli analizowane okno czasowe. Można je poszerzać lub zawężać, aby skupić się na okresie wokół incydentu. Detective porównuje aktywność w tym oknie z długoterminową wartością bazową encji.

Detective zestawia zachowanie bazowe z aktywnością w określonym zakresie. Jeśli rola IAM zwykle wykonuje 50 wywołań na godzinę, ale w analizowanym oknie wykonała ich 5000, odchylenie będzie wyraźnie widoczne. Odczytywanie tych porównań pozwala odróżnić zwykły szum od rzeczywistych anomalii.

W przypadku ustaleń dotyczących tożsamości Detective pokazuje lokalizacje geograficzne i adresy IP, z których działała encja. Rola użyta nagle z nieznanego kraju w czasie zakresu silnie sugeruje kradzież danych uwierzytelniających. Wzorce lokalizacji należą do najbardziej jednoznacznych sygnałów w dochodzeniu.

Detective rozkłada na części wywołania API wykonywane przez encję: jakie działania podejmowała, jak często oraz czy są one dla niej nowe. Nagły wzrost nietypowych działań, takich jak tworzenie użytkowników lub zmiana zasad, w analizowanym oknie wskazuje na aktywnego atakującego, a nie rutynowe użycie.

Każdy profil zawiera listę połączonych encji: adresów IP, które wywoływały rolę, instancji, z którymi kontaktowały się dane uwierzytelniające, oraz zaangażowanych kont. Śledzenie tych połączeń w obrębie okna czasowego pozwala odtworzyć łańcuch aktywności składający się na incydent.

Dochodzenie ma charakter iteracyjny: ustawiasz czas zakresu, znajdujesz coś, a następnie zmieniasz okno, aby uchwycić większą część aktywności. Zawężenie pozwala wyodrębnić konkretne zdarzenie, a poszerzenie ujawnia wcześniejsze rozpoznanie lub późniejsze przemieszczanie lateralne. Detective umożliwia szybkie ponowne określenie zakresu.

Detective przedstawia zachowanie encji jako oś czasu aktywności w analizowanym okresie, a wykresy pozwalają na pierwszy rzut oka dostrzec skoki i przerwy. Najechanie kursorem na punkt lub kliknięcie go ujawnia leżące u jego podstaw wywołania albo połączenia. Umiejętność odczytywania tej osi czasu pozwala dokładnie wskazać moment rozpoczęcia nietypowego zachowania, który często oznacza chwilę przejęcia.

Detective dostosowuje analizę do typu encji. W przypadku roli lub użytkownika IAM koncentruje się na aktywności związanej z przyjmowaniem roli, geolokalizacjach i działaniach API; w przypadku instancji EC2 — na połączeniach sieciowych i natężeniu ruchu; w przypadku Kubernetes — na aktywności podów i kontenerów z logów audytu EKS. Wiedza o tym, które sygnały mają znaczenie dla poszczególnych typów zasobów, pozwala trafniej odczytywać profil podczas incydentu.

Przeanalizuj encję w czasie.

Analiza Detective łączy encje (role, użytkowników, instancje, adresy IP i konta) z oknem czasu zakresu. Profile encji pokazują liczbę wywołań API, geolokalizacje i połączone encje, porównując aktywność w zakresie z długoterminową wartością bazową. Odchylenia, takie jak skoki liczby wywołań API lub aktywność z nowych lokalizacji, ujawniają przejęcie, a zakres okna można iteracyjnie zmieniać, aby podążać za dowodami.