Переход от результата GuardDuty

Расследования обычно начинаются с оповещения. Detective тесно интегрирован с GuardDuty, поэтому Вы можете напрямую перейти от обнаружения к графу поведения. Одно нажатие переводит Вас от сообщения «что-то не так» к подробному контекстному представлению всего, что связано с этим обнаружением.

В GuardDuty и Security Hub обнаружения содержат действие Investigate in Detective. При его выборе Detective открывается с фокусом на сущностях, указанных в обнаружении, например затронутом экземпляре, роли IAM или удалённом IP-адресе. Контекст уже загружен, поэтому настройка не занимает дополнительного времени.

После перехода открывается профиль сущности — страница со сводкой активности одной сущности: её обычным поведением, недавними изменениями и связями. Например, в профиле экземпляра из обнаружения Вы сразу увидите объём вызовов API, сетевую активность и возможные аномалии.

Из одной сущности Вы можете перейти к связанным сущностям: IP-адресу, который связывался с экземпляром, роли, учётные данные которой использовались, или другим ресурсам, к которым обращался злоумышленник. Каждый переход расширяет картину и позволяет шаг за шагом проследить путь злоумышленника в среде.

Одна из главных целей — определить масштаб воздействия: к чему ещё обращался злоумышленник? Связанный граф Detective показывает, пострадал ли только один экземпляр или учётные данные распространились на другие ресурсы. От этого зависит, насколько широкими должны быть меры сдерживания.

Переходы между сущностями также помогают определить, является ли обнаружение истинно положительным. Если связанная активность соответствует известному безопасному шаблону, Вы можете уверенно отклонить обнаружение. Если она выявляет дополнительные подозрительные действия, следует повысить приоритет расследования. В любом случае решения принимаются на основе фактов, а не предположений.

При переходе сервис расследований показывает активность вокруг временного окна обнаружения и сравнивает её с историческим базовым уровнем сущности. Если видно, что всплеск начался точно в момент срабатывания, это сильнее подтверждает, что обнаружение указывает на настоящее вторжение.

При интеграции с организацией переход может отслеживать активность между аккаунтами. Если скомпрометированные учётные данные использовались во втором аккаунте, сервис расследований покажет это на том же графе. Это особенно важно, поскольку злоумышленники часто перемещаются между аккаунтами.

Устраняя необходимость вручную сопоставлять записи журналов, переходы сокращают расследование с часов до минут. Более быстрое понимание ситуации означает более быстрое сдерживание, что напрямую ограничивает ущерб. На экзамене сервис расследований представлен как ускоритель между оповещением GuardDuty и эффективным реагированием.

Действие «Исследовать в сервисе расследований» не ограничивается GuardDuty. Результаты обнаружения в Центре безопасности, поступившие из GuardDuty, также предлагают этот переход, поэтому аналитик, выполняющий первичную обработку на объединённой панели, может сразу перейти к графу поведения. Это означает, что центральная консоль и инструмент расследования соединены напрямую, благодаря чему процесс обнаружения, объединения и расследования остаётся непрерывным.

Сервис расследований может объединять связанные результаты обнаружения в группы обнаружений, автоматически связывая обнаружения, сущности и соединяющую их активность в одну единицу для расследования. Вместо перехода от одного обнаружения Вы начинаете с группы, которая уже рассказывает согласованную историю. Это ускоряет расследование, показывая весь инцидент, а не одно оповещение за раз.

Проследите рабочий процесс расследования.

Сервис расследований интегрируется с GuardDuty с помощью действия «Исследовать в сервисе расследований». Переход открывает профиль сущности, позволяет отслеживать связанные сущности, чтобы определить масштаб воздействия, сравнивает активность с базовым уровнем с учётом времени и может отслеживать боковое перемещение между аккаунтами. Так результат обнаружения превращается в быстрое расследование и реагирование на основе доказательств.