Detective สร้างกราฟพฤติกรรมอย่างไร

การตรวจจับบอกคุณว่ามีบางอย่างผิดปกติ ส่วนการสืบสวนจะบอกว่าเกิดอะไรขึ้นจริง Amazon Detective คือบริการที่สร้างขึ้นเพื่อการสืบสวนโดยเฉพาะ บริการนี้วิเคราะห์กิจกรรมโดยอัตโนมัติและสร้างแบบจำลองเชิงภาพ เพื่อให้คุณเข้าใจเรื่องราวทั้งหมดเบื้องหลังการค้นพบ ไม่ใช่เพียงการแจ้งเตือน

Detective รับและเชื่อมโยงข้อมูลบันทึกอย่างต่อเนื่องเพื่อสร้างกราฟพฤติกรรมตามช่วงเวลา แทนที่จะต้องเชื่อมโยงบันทึกข้ามบริการด้วยตนเอง คุณจะได้ภาพที่สร้างไว้ล่วงหน้าและค้นหาได้ ซึ่งแสดงให้เห็นว่าเอนทิตีต่าง ๆ เช่น บัญชี อินสแตนซ์ และที่อยู่ IP โต้ตอบกันอย่างไร

โครงสร้างหลักคือ กราฟพฤติกรรม โดยโหนดคือเอนทิตี เช่น บทบาท IAM อินสแตนซ์ EC2 ที่อยู่ IP และบัญชี ส่วนเส้นเชื่อมคือการโต้ตอบและกิจกรรมระหว่างเอนทิตีเหล่านั้น กราฟจะบันทึกค่าพื้นฐานตามปกติและความเบี่ยงเบน ทำให้นักสืบสวนมีแผนที่สำหรับทำงานแทนที่จะต้องดูบันทึกดิบ

Detective สร้างกราฟจากข้อมูลตรวจวัดประเภทเดียวกับที่ใช้ในการตรวจจับ ได้แก่ เหตุการณ์การจัดการของ CloudTrail, VPC Flow Logs และการค้นพบของ GuardDuty รวมถึงบันทึกการตรวจสอบของ EKS ระบบจะเชื่อมโยงข้อมูลจำนวนมากให้โดยอัตโนมัติ คุณจึงไม่ต้องรวบรวมแหล่งข้อมูลเหล่านี้ด้วยตนเอง

เช่นเดียวกับ GuardDuty, Detective เป็นบริการที่ไม่ต้องติดตั้งเอเจนต์และมีการจัดการเต็มรูปแบบ คุณเพียงเปิดใช้บริการ แล้วบริการจะดึงข้อมูลที่ต้องการมาให้ คุณไม่ต้องสร้างกระบวนการส่งข้อมูลบันทึกหรือพื้นที่จัดเก็บเอง นอกจากนี้ยังเก็บกิจกรรมที่เชื่อมโยงกันไว้ประมาณหนึ่งปี ทำให้สืบสวนย้อนหลังได้เป็นเวลานานโดยไม่ต้องจัดการการเก็บรักษาข้อมูล

Detective ใช้การเรียนรู้ของเครื่องและสถิติเพื่อเรียนรู้ว่าอะไรคือพฤติกรรมปกติของแต่ละเอนทิตี จากนั้นจะเน้นความเบี่ยงเบนให้เห็น การทราบค่าพื้นฐานช่วยให้นักสืบสวนเห็นได้ว่า อินสแตนซ์หนึ่งอาจเรียกใช้ API มากกว่าปกติอย่างฉับพลัน ซึ่งเป็นสัญญาณที่ชัดเจนว่าอาจถูกบุกรุก

กราฟจะแสดงเป็นภาพแบบโต้ตอบ ได้แก่ เส้นเวลา โปรไฟล์ของแต่ละเอนทิตี และแผนภูมิกิจกรรม นักวิเคราะห์คลิกดูเอนทิตีที่เกี่ยวข้องเพื่อเดินตามร่องรอย วิธีการแบบภาพนี้เปลี่ยนการค้นหาข้อมูลในบันทึกเป็นเวลาหลายชั่วโมงให้กลายเป็นการสำรวจที่มีแนวทาง

ข้อแตกต่างสำคัญคือ GuardDuty ตรวจจับ ส่วน Detective สืบสวน GuardDuty สร้างการค้นพบ ขณะที่ Detective ช่วยให้คุณระบุขอบเขต สาเหตุหลัก และผลกระทบ บริการทั้งสองทำงานเสริมกัน และข้อสอบคาดหวังให้คุณเลือก Detective เมื่อโจทย์ต้องการการสืบสวนและการวิเคราะห์สาเหตุหลัก

Detective ผสานรวมกับ AWS Organizations และรองรับผู้ดูแลระบบที่ได้รับมอบหมาย ทำให้บัญชีด้านความปลอดภัยสามารถสืบสวนกิจกรรมข้ามบัญชีสมาชิกทั้งหมดได้ในกราฟพฤติกรรมเดียว แนวทางนี้สอดคล้องกับ GuardDuty และ Security Hub เพื่อให้การดำเนินงานหลายบัญชีเป็นไปอย่างสม่ำเสมอ

Detective เก็บกิจกรรมที่เชื่อมโยงกันประมาณหนึ่งปีไว้ในกราฟพฤติกรรม ซึ่งยาวนานกว่าระยะเวลาเก็บการค้นพบเริ่มต้นของ GuardDuty มาก ช่วงเวลาย้อนหลังที่ยาวนานนี้ช่วยให้นักสืบสวนเห็นว่าพฤติกรรมน่าสงสัยเริ่มขึ้นเมื่อหลายสัปดาห์ก่อนหรือไม่ ทำให้พบการบุกรุกที่ค่อย ๆ เกิดขึ้นและแฝงตัวได้ ซึ่งช่วงเวลาสั้น ๆ อาจตรวจไม่พบ ประวัติที่ยาวนานนี้เป็นเหตุผลสำคัญที่ทำให้ Detective ทำงานเสริมการตรวจจับ แทนที่จะทำซ้ำหน้าที่กัน

รายละเอียดเชิงปฏิบัติคือ Detective ต้องการให้เปิดใช้ GuardDuty มาแล้วระยะหนึ่ง (ประมาณ 48 ชั่วโมง) ก่อนจึงจะเปิดใช้ Detective ได้ เนื่องจาก Detective ใช้การค้นพบของ GuardDuty และข้อมูลตรวจวัดพื้นฐานเดียวกันเพื่อเริ่มต้นกราฟพฤติกรรม บริการทั้งสองได้รับการออกแบบให้ทำงานร่วมกัน โดยการตรวจจับจะป้อนข้อมูลให้การสืบสวน

แยกความแตกต่างระหว่างการตรวจจับกับการสืบสวน

Detective คือบริการสืบสวนที่มีการจัดการและไม่ต้องติดตั้งเอเจนต์ บริการนี้เชื่อมโยง CloudTrail, VPC Flow Logs, การค้นพบของ GuardDuty และบันทึกการตรวจสอบของ EKS เข้าเป็นกราฟพฤติกรรมของเอนทิตีและการโต้ตอบ เรียนรู้ค่าพื้นฐานของพฤติกรรมปกติ และแสดงภาพแบบโต้ตอบที่ย้อนดูข้อมูลได้ประมาณหนึ่งปี GuardDuty ตรวจจับ ส่วน Detective สืบสวนสาเหตุหลักและขอบเขต