การวิเคราะห์เอนทิตีและช่วงเวลา

การสืบสวนที่มีประสิทธิภาพต้องตอบคำถามสองข้อ ได้แก่ เอนทิตีใดที่เกี่ยวข้อง และพวกมันมีพฤติกรรมผิดปกติ ในช่วงเวลาใด Detective สร้างขึ้นโดยคำนึงถึงทั้งสองด้าน การเข้าใจวิธีที่ระบบนำเสนอเอนทิตีและช่วงเวลาจะช่วยให้คุณอ่านกราฟได้อย่างรวดเร็วและมั่นใจ

ใน Detective เอนทิตี คือสิ่งใดก็ตามที่กราฟติดตาม เช่น ผู้ใช้หรือบทบาท IAM, อินสแตนซ์ EC2, บัญชี AWS, ที่อยู่ IP, ตัวแทนผู้ใช้ หรือแม้แต่การตรวจพบเอง แต่ละรายการมีหน้าโปรไฟล์ที่สรุปพฤติกรรมและสิ่งที่เชื่อมต่อด้วย

โปรไฟล์เอนทิตี จะรวบรวมข้อมูลทั้งหมดที่ Detective ทราบเกี่ยวกับเอนทิตีหนึ่งรายการไว้ในแผงต่าง ๆ ได้แก่ ปริมาณการเรียก API ตามเวลา ตำแหน่งทางภูมิศาสตร์ของกิจกรรม ทรัพยากรที่เชื่อมต่อ และการตรวจพบที่สังเกตได้ นี่คือหน้าเดียวที่ช่วยให้คุณเข้าใจผู้กระทำหรือทรัพยากรหนึ่งรายการได้อย่างละเอียด

โปรไฟล์ทุกโปรไฟล์จะมี เวลาของขอบเขตเป็นตัวกำหนด ซึ่งก็คือช่วงเวลาที่คุณกำลังวิเคราะห์ คุณสามารถขยายหรือจำกัดช่วงนี้เพื่อมุ่งเน้นไปที่ช่วงรอบเหตุการณ์ได้ Detective จะเปรียบเทียบกิจกรรมภายในช่วงเวลาดังกล่าวกับรูปแบบพื้นฐานระยะยาวของเอนทิตี

Detective เปรียบเทียบพฤติกรรมตาม รูปแบบพื้นฐานกับช่วงเวลาที่กำหนดขอบเขตไว้ หากโดยปกติบทบาท IAM เรียกใช้ 50 ครั้งต่อชั่วโมง แต่ในช่วงเวลาดังกล่าวเรียกใช้ถึง 5,000 ครั้ง ความแตกต่างนี้จะเห็นได้อย่างชัดเจน การอ่านการเปรียบเทียบเหล่านี้ช่วยให้คุณแยกเสียงรบกวนตามปกติออกจากความผิดปกติที่เกิดขึ้นจริง

สำหรับการตรวจพบที่เกี่ยวข้องกับข้อมูลประจำตัว Detective จะแสดง ตำแหน่งทางภูมิศาสตร์และ IP ที่เอนทิตีใช้ดำเนินการ หากจู่ ๆ มีการใช้บทบาทจากประเทศที่ไม่คุ้นเคยในช่วงเวลาที่กำหนดขอบเขตไว้ ก็เป็นสัญญาณที่บ่งชี้อย่างมากว่าข้อมูลรับรองถูกขโมย รูปแบบตำแหน่งเป็นสัญญาณสำคัญที่ชัดเจนที่สุดอย่างหนึ่งในการสืบสวน

Detective จะแจกแจง การเรียก API ที่เอนทิตีดำเนินการ ได้แก่ การกระทำใด เกิดขึ้นบ่อยเพียงใด และเป็นสิ่งใหม่สำหรับเอนทิตีนั้นหรือไม่ การกระทำที่ผิดปกติจำนวนมากในช่วงเวลาดังกล่าว เช่น การสร้างผู้ใช้หรือการเปลี่ยนนโยบาย บ่งชี้ว่าผู้โจมตีกำลังปฏิบัติการอยู่ ไม่ใช่การใช้งานตามปกติ

แต่ละโปรไฟล์จะแสดง เอนทิตีที่เชื่อมต่อ เช่น IP ที่เรียกใช้บทบาท อินสแตนซ์ที่ข้อมูลรับรองเข้าไปใช้งาน และบัญชีที่เกี่ยวข้อง การติดตามการเชื่อมต่อเหล่านี้ภายในช่วงเวลาจะช่วยสร้างลำดับกิจกรรมที่ประกอบกันเป็นเหตุการณ์ขึ้นใหม่

การสืบสวนเป็นกระบวนการแบบวนซ้ำ คุณกำหนดเวลาในขอบเขต พบข้อมูลบางอย่าง แล้วจึง ปรับช่วงเวลา เพื่อเก็บกิจกรรมเพิ่มเติม การจำกัดช่วงเวลาช่วยแยกเหตุการณ์ที่เกิดขึ้นอย่างแม่นยำ ส่วนการขยายช่วงเวลาจะเผยให้เห็นการลาดตระเวนก่อนหน้า หรือการเคลื่อนย้ายด้านข้างในภายหลัง Detective ทำให้การกำหนดขอบเขตใหม่ทำได้อย่างรวดเร็ว

Detective นำเสนอพฤติกรรมของเอนทิตีเป็น เส้นเวลา ของกิจกรรมตลอดช่วงเวลาที่กำหนดขอบเขตไว้ พร้อมแผนภูมิที่ทำให้เห็นจุดพุ่งสูงและช่วงว่างได้ในทันที เมื่อวางเมาส์เหนือหรือคลิกจุดใดจุดหนึ่ง ระบบจะแสดงการเรียกหรือการเชื่อมต่อเบื้องหลัง การเรียนรู้ที่จะอ่านเส้นเวลานี้ช่วยให้คุณระบุได้อย่างแม่นยำว่าพฤติกรรมผิดปกติเริ่มขึ้นเมื่อใด ซึ่งมักเป็นช่วงเวลาที่การถูกโจมตีเริ่มต้นขึ้น

Detective ปรับการวิเคราะห์ให้เหมาะกับประเภทของเอนทิตี สำหรับ บทบาทหรือผู้ใช้ IAM ระบบจะเน้นกิจกรรมของบทบาทที่ถูกใช้ สิ่งบ่งชี้ตำแหน่งทางภูมิศาสตร์ และการกระทำของ API; สำหรับ อินสแตนซ์ EC2 ระบบจะเน้นการเชื่อมต่อเครือข่ายและปริมาณการรับส่งข้อมูล; สำหรับ Kubernetes ระบบจะเน้นกิจกรรมของพ็อดและคอนเทนเนอร์จากบันทึกการตรวจสอบของ EKS การรู้ว่าสัญญาณใดสำคัญต่อทรัพยากรแต่ละประเภทช่วยให้คุณอ่านโปรไฟล์ระหว่างเกิดเหตุการณ์ได้แม่นยำยิ่งขึ้น

อ่านข้อมูลของเอนทิตีตามช่วงเวลา

การวิเคราะห์ของ Detective จับคู่ เอนทิตี (บทบาท ผู้ใช้ อินสแตนซ์ IP และบัญชี) กับช่วง เวลาของขอบเขต โปรไฟล์เอนทิตีจะแสดงปริมาณการเรียก API ตำแหน่งทางภูมิศาสตร์ และเอนทิตีที่เชื่อมต่อ พร้อมเปรียบเทียบกิจกรรมในขอบเขตกับ รูปแบบพื้นฐานระยะยาว ความแตกต่าง เช่น การเรียก API ที่พุ่งสูงขึ้นหรือกิจกรรมจากตำแหน่งใหม่ ช่วยเปิดเผยการถูกโจมตี และคุณสามารถปรับขอบเขตช่วงเวลาเป็นระยะเพื่อติดตามหลักฐานได้