Przechodzenie od ustalenia GuardDuty

Doch investigations zwykle rozpoczynają się od alertu. Detective ściśle integruje się z GuardDuty, dzięki czemu można bezpośrednio przejść z findingu do grafu zachowania. Jedno kliknięcie przenosi Państwa od stwierdzenia „coś jest nie tak” do bogatego w kontekst widoku wszystkiego, co wiąże się z danym findingiem.

W GuardDuty i Security Hub findingi zawierają akcję Investigate in Detective. Jej wybranie otwiera Detective z widokiem skupionym na encjach wskazanych w findingu, takich jak dotknięta problemem instancja, rola IAM czy zdalny adres IP. Kontekst jest wstępnie załadowany, co oszczędza czas potrzebny na konfigurację.

Przejście przenosi Państwa do profilu encji — strony podsumowującej aktywność jednej encji: jej typowe zachowanie, ostatnie zmiany i połączenia. Na przykład w przypadku instancji wskazanej w findingu od razu widać liczbę jej wywołań API, aktywność sieciową i wszelkie anomalie.

Z jednej encji można przechodzić do powiązanych encji: adresu IP, który skontaktował się z instancją, roli, której poświadczeń użyto, lub innych zasobów, z którymi sprawca miał kontakt. Każde takie przejście poszerza obraz sytuacji i pozwala krok po kroku prześledzić ścieżkę atakującego w środowisku.

Jednym z głównych celów jest określenie zasięgu incydentu: czego jeszcze dotknął sprawca? Połączony graf Detective pokazuje, czy problem dotyczył jednej instancji, czy też poświadczenia zostały wykorzystane wobec innych zasobów. Od tego zakresu zależy, jak szerokie muszą być działania ograniczające skutki incydentu.

Przechodzenie między encjami pomaga również zdecydować, czy finding jest prawdziwie pozytywny. Jeśli powiązana aktywność odpowiada znanemu, nieszkodliwemu wzorcowi, mogą Państwo z przekonaniem go odrzucić. Jeśli ujawni bardziej podejrzane zachowanie, należy przeprowadzić eskalację. W obu przypadkach działają Państwo na podstawie dowodów, a nie przypuszczeń.

Po wykonaniu pivotu Detective pokazuje aktywność wokół okna czasowego ustalenia, porównując ją z historyczną wartością bazową encji. Jeśli widać, że skok aktywności rozpoczął się dokładnie w chwili wygenerowania ustalenia, wzmacnia to tezę, że ustalenie wskazuje na rzeczywiste włamanie.

Dzięki integracji z organizacją pivot może śledzić aktywność między kontami. Jeśli przejęte dane uwierzytelniające zostały użyte na drugim koncie, Detective może pokazać to na tym samym grafie. Ma to kluczowe znaczenie, ponieważ atakujący często przemieszczają się lateralnie między kontami.

Eliminując ręczne korelowanie logów, pivotowanie skraca dochodzenie z godzin do minut. Szybsze zrozumienie sytuacji oznacza szybsze powstrzymanie zagrożenia, co bezpośrednio ogranicza szkody. Na egzaminie Detective jest przedstawiany jako akcelerator między alertem GuardDuty a skuteczną reakcją.

Akcja Investigate in Detective nie jest ograniczona do GuardDuty. Security Hub udostępnia pivot również dla ustaleń pochodzących z GuardDuty, dzięki czemu analityk analizujący zagregowany pulpit może przejść bezpośrednio do grafu zachowania. Oznacza to, że centralna konsola i narzędzie dochodzeniowe są połączone bezpośrednio, zapewniając płynny przebieg od wykrywania przez agregowanie do dochodzenia.

Detective może grupować powiązane ustalenia w grupy ustaleń, automatycznie łącząc ustalenia, encje i aktywność, która je wiąże, w jedną jednostkę możliwą do zbadania. Zamiast wykonywać pivot z pojedynczego ustalenia, zaczynasz od grupy, która już przedstawia skoordynowaną historię zdarzeń. Przyspiesza to dochodzenie, pokazując cały incydent zamiast jednego alertu naraz.

Prześledź przebieg dochodzenia.

Detective integruje się z GuardDuty za pomocą akcji Investigate in Detective. Pivotowanie otwiera profil encji, pozwala śledzić powiązane encje w celu określenia promienia rażenia, porównuje aktywność z wartością bazową uwzględniającą czas i może śledzić przemieszczanie lateralne między kontami. Dzięki temu ustalenie można szybko przekształcić w dochodzenie i reakcję opartą na dowodach.