Анализ сущностей и временных интервалов

Эффективное расследование объединяет два вопроса: какие сущности были задействованы и в течение какого времени они вели себя необычно? Сервис расследований построен вокруг обоих аспектов. Освоив представление сущностей и временных окон, Вы сможете быстро и уверенно читать граф.

В сервисе расследований сущность — это любой объект, который отслеживает граф: пользователь или роль IAM, экземпляр EC2, аккаунт AWS, IP-адрес, пользовательский агент или само обнаружение. Для каждого объекта есть страница профиля с описанием его поведения и связей.

Профиль сущности собирает на панелях всё, что сервис расследований знает об одной сущности: объём вызовов API во времени, географические места активности, связанные ресурсы и обнаруженные результаты. Это единая страница, на которой можно подробно понять поведение одного участника или ресурса.

Каждый профиль ограничен временной областью анализа — временным окном, которое Вы изучаете. Вы можете расширить или сузить его, сосредоточившись на периоде вокруг инцидента. Сервис расследований сравнивает активность внутри этого окна с долгосрочным базовым уровнем сущности.

Сервис расследований сопоставляет поведение на базовом уровне с активностью в заданном окне. Если роль IAM обычно выполняет 50 вызовов в час, но за время анализа выполнила 5 000, это отклонение сразу заметно. Чтение таких сравнений помогает отличить обычный шум от настоящих аномалий.

Для обнаружений, связанных с идентификацией, сервис расследований показывает географические места и IP-адреса, из которых действовала сущность. Если роль, ранее использовавшаяся только из привычного места, внезапно применяется из незнакомой страны в течение анализируемого времени, это убедительно указывает на украденные учётные данные. Географические закономерности относятся к самым ясным следственным сигналам.

Сервис расследований разбирает выполненные сущностью вызовы API: какие действия выполнялись, как часто и были ли они новыми для этой сущности. Всплеск необычных действий, например создания пользователей или изменения политик в течение выбранного окна, указывает на активного злоумышленника, а не на обычное использование.

В каждом профиле перечислены связанные сущности: IP-адреса, с которых обращались к роли, экземпляры, которых коснулись учётные данные, и задействованные аккаунты. Отслеживание этих связей в пределах временного окна помогает восстановить цепочку активности, составляющую инцидент.

Расследование проходит итеративно: Вы задаёте временную область, находите что-то, а затем настраиваете окно, чтобы охватить больше активности. Сужение позволяет выделить точное событие, а расширение выявляет более раннюю разведку или последующее боковое перемещение. Сервис расследований позволяет быстро менять область анализа.

Сервис расследований представляет поведение сущности как временную шкалу активности за выбранное время, а диаграммы позволяют сразу заметить всплески и пробелы. При наведении на точку или щелчке по ней отображаются соответствующие вызовы или связи. Умение читать эту шкалу помогает точно определить момент начала необычного поведения, который часто совпадает с моментом компрометации.

Сервис расследований адаптирует анализ к типу сущности. Для роли или пользователя IAM он выделяет активность от имени принятой роли, географические места и действия API; для экземпляра EC2 — сетевые подключения и объём трафика; для Kubernetes — активность модулей и контейнеров из журналов аудита EKS. Знание важных сигналов для каждого типа ресурса помогает точнее читать профиль во время инцидента.

Изучите сущность во времени.

Анализ сервиса расследований связывает сущности — роли, пользователей, экземпляры, IP-адреса и аккаунты — с временным окном области анализа. Профили сущностей показывают объём вызовов API, географические места и связанные сущности, сравнивая активность в выбранной области с долгосрочным базовым уровнем. Отклонения, например всплески вызовов API или активность из новых мест, выявляют компрометацию, а Вы итеративно меняете временную область, следуя доказательствам.