Analisando Entidades e Intervalos de Tempo

Uma investigação eficaz combina duas perguntas: quais entidades estiveram envolvidas e durante quanto tempo elas apresentaram comportamento incomum? O Detective foi desenvolvido com base nessas duas dimensões. Dominar a forma como ele apresenta entidades e janelas de tempo permite interpretar um gráfico com rapidez e segurança.

No Detective, uma entidade é qualquer elemento monitorado pelo gráfico: um usuário ou uma função do IAM, uma instância do EC2, uma conta da AWS, um endereço IP, um agente de usuário ou a própria descoberta. Cada elemento tem uma página de perfil que resume seu comportamento e suas conexões.

Um perfil de entidade reúne, em painéis, tudo o que o Detective sabe sobre uma entidade: o volume de chamadas de API ao longo do tempo, as localizações geográficas da atividade, os recursos conectados e as descobertas observadas. É a página única na qual você compreende detalhadamente um agente ou recurso.

Todo perfil é delimitado por um período de escopo, a janela de tempo que você está analisando. Você pode ampliá-la ou reduzi-la para se concentrar no período ao redor de um incidente. O Detective compara a atividade dentro dessa janela com a linha de base de longo prazo da entidade.

O Detective contrasta o comportamento da linha de base com o da janela definida no escopo. Se uma função do IAM normalmente fizer 50 chamadas por hora, mas fizer 5.000 durante a janela, essa diferença se destacará. A leitura dessas comparações permite separar o ruído normal das anomalias genuínas.

Para descobertas relacionadas à identidade, o Detective mostra as localizações geográficas e os IPs a partir dos quais uma entidade atuou. Uma função usada de repente em um país desconhecido durante o período de escopo sugere fortemente o uso de credenciais roubadas. Os padrões de localização estão entre os sinais investigativos mais claros.

O Detective detalha as chamadas de API feitas por uma entidade: quais ações foram executadas, com que frequência e se são novas para essa entidade. Uma sequência de ações incomuns, como criar usuários ou alterar políticas durante a janela, aponta para um invasor ativo, e não para um uso rotineiro.

Cada perfil lista as entidades conectadas: os IPs que chamaram uma função, as instâncias que uma credencial acessou e as contas envolvidas. Seguir essas conexões dentro da janela de tempo reconstrói a cadeia de atividade que compõe o incidente.

A investigação é iterativa: você define um período de escopo, encontra algo e então ajusta a janela para incluir mais atividade. Reduzi-la isola o evento exato; ampliá-la revela um reconhecimento anterior ou um movimento lateral posterior. O Detective torna rápido esse ajuste do escopo.

O Detective apresenta o comportamento de uma entidade como uma linha do tempo da atividade durante o período de escopo, com gráficos que tornam visíveis, de relance, os picos e as lacunas. Ao passar o cursor sobre um ponto ou clicar nele, você vê as chamadas ou conexões subjacentes. Aprender a ler essa linha do tempo permite identificar exatamente quando o comportamento anormal começou, o que geralmente marca o momento do comprometimento.

O Detective adapta sua análise ao tipo de entidade. Para uma função ou usuário do IAM, ele enfatiza a atividade de funções assumidas, as localizações geográficas e as ações de API; para uma instância do EC2, as conexões de rede e o volume de tráfego; para o Kubernetes, a atividade de pods e contêineres proveniente dos registros de auditoria do EKS. Saber quais sinais importam para cada tipo de recurso aprimora a leitura de um perfil durante um incidente.

Leia uma entidade ao longo do tempo.

A análise do Detective associa entidades (funções, usuários, instâncias, IPs e contas) a uma janela de período de escopo. Os perfis de entidade mostram o volume de chamadas de API, as localizações geográficas e as entidades conectadas, comparando a atividade no escopo com uma linha de base de longo prazo. Diferenças como picos de chamadas de API ou atividade proveniente de novas localizações revelam um comprometimento, e você ajusta o escopo da janela iterativamente para acompanhar as evidências.