Analysera entiteter och tidsintervall

En effektiv utredning kombinerar två frågor: vilka entiteter var inblandade och under vilken tidsperiod betedde de sig avvikande? Detective är byggt kring båda. När Ni behärskar hur verktyget presenterar entiteter och tidsfönster kan Ni läsa en graf snabbt och säkert.

I Detective är en entitet allt som grafen spårar: en IAM-användare eller -roll, en EC2-instans, ett AWS-konto, en IP-adress, en användaragent eller själva fyndet. Varje entitet har en profilsida som sammanfattar hur den betedde sig och vad den var kopplad till.

En entitetsprofil samlar allt Detective känner till om en entitet i paneler: volymen av API-anrop över tid, geografiska platser för aktivitet, anslutna resurser och observerade fynd. Det är den samlade sidan där Ni kan förstå en aktör eller resurs på djupet.

Varje profil avgränsas av en avgränsningstid, alltså det tidsfönster Ni analyserar. Ni kan göra det bredare eller smalare för att fokusera på perioden kring en incident. Detective jämför aktiviteten inom fönstret med entitetens långsiktiga baslinje.

Detective ställer baslinjebeteendet mot aktiviteten i det avgränsade tidsfönstret. Om en IAM-roll normalt gör 50 anrop i timmen men gjorde 5 000 under tidsfönstret blir avvikelsen tydlig. Genom att läsa dessa jämförelser kan Ni skilja normalt brus från verkliga avvikelser.

För identitetsfynd visar Detective de geografiska platser och IP-adresser som en entitet har agerat från. Om en roll plötsligt används från ett okänt land under avgränsningstiden tyder det starkt på stulna autentiseringsuppgifter. Platsmönster är bland de tydligaste signalerna i en utredning.

Detective bryter ner de API-anrop en entitet har gjort: vilka åtgärder som utfördes, hur ofta de utfördes och om de är nya för entiteten. En mängd ovanliga åtgärder, som att skapa användare eller ändra policyer under tidsfönstret, tyder på en aktiv angripare snarare än normal användning.

Varje profil listar anslutna entiteter: de IP-adresser som anropade en roll, de instanser som en autentiseringsuppgift berörde och de inblandade kontona. Genom att följa dessa anslutningar inom tidsfönstret kan Ni rekonstruera den aktivitetskedja som utgör incidenten.

Utredning är en iterativ process: Ni anger en avgränsningstid, hittar något och justerar fönstret för att få med mer av aktiviteten. Om Ni gör fönstret smalare isoleras den exakta händelsen; om Ni gör det bredare syns tidigare rekognosering eller senare lateral förflyttning. Detective gör denna ändring av avgränsningen snabb.

Detective presenterar en entitets beteende som en tidslinje över aktivitet under avgränsningstiden, med diagram som gör toppar och luckor synliga vid en snabb blick. När Ni håller pekaren över eller klickar på en punkt visas de underliggande anropen eller anslutningarna. När Ni lär Er läsa denna tidslinje kan Ni exakt fastställa när det avvikande beteendet började, vilket ofta markerar tidpunkten för komprometteringen.

Detective anpassar sin analys efter entitetstypen. För en IAM-roll eller användare betonas aktivitet via antagna roller, geografiska platser och API-åtgärder; för en EC2-instans nätverksanslutningar och trafikvolym; för Kubernetes podd- och containeraktivitet från EKS-granskningsloggar. När Ni vet vilka signaler som är viktiga för varje resurstyp blir det lättare att tolka en profil under en incident.

Detective-analys kopplar samman entiteter (roller, användare, instanser, IP-adresser och konton) med ett avgränsningstidsfönster. Entitetsprofiler visar volymen av API-anrop, geografiska platser och anslutna entiteter och jämför avgränsad aktivitet med en långsiktig baslinje. Avvikelser som toppar i API-anrop eller aktivitet från nya platser avslöjar kompromettering, och Ni justerar avgränsningen iterativt för att följa bevisen.