Utgå från en GuardDuty-finding

Undersökningar börjar vanligtvis med en avisering. Detective integreras tätt med GuardDuty, så att ni kan gå direkt från ett fynd till beteendegrafen. Med ett klick går ni från "något är fel" till en detaljerad kontextuell vy över allt som hör samman med fyndet.

I GuardDuty och Security Hub innehåller fynd en åtgärd med namnet Investigate in Detective. När ni väljer den öppnas Detective med fokus på entiteterna i fyndet, till exempel den berörda instansen, IAM-rollen eller fjärr-IP-adressen. Kontexten är redan inläst, vilket sparar tid vid konfigurationen.

När ni navigerar från fyndet hamnar ni på en entitetsprofil, en sida som sammanfattar en entitets aktivitet: dess typiska beteende, senaste ändringar och anslutningar. Från fyndets instans ser ni till exempel direkt volymen av API-anrop, nätverksaktivitet och eventuella avvikelser.

Från en entitet kan ni navigera till relaterade entiteter: IP-adressen som kontaktade instansen, rollen vars autentiseringsuppgifter användes eller andra resurser som aktören berörde. Varje steg utökar bilden och låter er spåra en angripares väg genom miljön steg för steg.

Ett centralt mål är att fastställa angreppets omfattning: vad mer berörde aktören? Detectives kopplade graf visar om endast en instans påverkades eller om autentiseringsuppgifter spreds till andra resurser. Denna avgränsning avgör hur omfattande er begränsning måste vara.

Genom att navigera mellan entiteter kan ni också avgöra om ett fynd är en äkta positiv träff. Om den relaterade aktiviteten följer ett känt, godartat mönster kan ni tryggt avfärda fyndet. Om den visar mer misstänkt beteende eskalerar ni det. Oavsett vilket agerar ni utifrån bevis och inte gissningar.

När Ni pivoterar visar Detective aktivitet kring fyndets tidsfönster och jämför den med entitetens historiska baslinje. Om Ni ser att en topp började exakt när fyndet utlöstes stärks bedömningen att fyndet markerar ett verkligt intrång.

Med organisationsintegrering kan en pivot följa aktivitet mellan konton. Om en komprometterad autentiseringsuppgift användes i ett annat konto kan Detective visa det i samma graf. Detta är avgörande eftersom angripare ofta förflyttar sig lateralt mellan konton.

Genom att eliminera manuell korrelation av loggar komprimerar pivotering utredningen från timmar till minuter. En snabbare förståelse leder till snabbare begränsning, vilket direkt minskar skadan. På provet framställs Detective som acceleratorn mellan en GuardDuty-avisering och en effektiv åtgärd.

Åtgärden Investigate in Detective är inte begränsad till GuardDuty. Security Hub-fynd som kommer från GuardDuty erbjuder också denna pivot, så att en analytiker som triagerar den samlade översikten kan gå direkt till beteendegrafen. Det innebär att den centrala konsolen och utredningsverktyget är direkt sammankopplade, vilket håller flödet från identifiering via sammanställning till utredning sömlöst.

Detective kan gruppera relaterade fynd i fyndgrupper och automatiskt koppla samman fynd, entiteter och den aktivitet som länkar dem till en enda utredningsbar enhet. I stället för att pivotera från ett enskilt fynd börjar Ni med en grupp som redan berättar en samordnad historia. Det snabbar upp utredningen genom att visa hela incidenten i stället för en avisering i taget.

Detective integreras med GuardDuty via åtgärden Investigate in Detective. Pivotering öppnar en entitetsprofil, låter Er följa relaterade entiteter för att bedöma skadeomfattningen, jämför aktivitet med en tidsmedveten baslinje och kan följa lateral förflyttning mellan konton. På så sätt omvandlas ett fynd till en snabb, evidensbaserad utredning och åtgärd.