Detective Davranış Grafiğini Nasıl Oluşturur

Tespit, bir şeylerin yanlış olduğunu söyler; inceleme ise gerçekte ne olduğunu ortaya çıkarır. Amazon Detective, inceleme için geliştirilmiş hizmettir. Etkinlikleri otomatik olarak analiz eder ve görsel bir model oluşturur; böylece yalnızca uyarıyı değil, bir bulgunun ardındaki bütün hikâyeyi anlayabilirsiniz.

Detective, zaman içindeki davranış grafiğini oluşturmak için günlük verilerini sürekli alır ve ilişkilendirir. Günlükleri hizmetler arasında elle ilişkilendirmek yerine hesaplar, örnekler ve IP adresleri gibi varlıkların birbirleriyle nasıl etkileştiğini gösteren, önceden oluşturulmuş ve sorgulanabilir bir görünüm elde edersiniz.

Temel yapı davranış grafiğidir: düğümler, IAM rolleri, EC2 örnekleri, IP adresleri ve hesaplar gibi varlıklardır; kenarlar ise bunlar arasındaki etkileşimleri ve etkinlikleri temsil eder. Grafik, normal temel davranışları ve sapmaları yakalayarak araştırmacılara ham günlükler yerine bir harita sunar.

Detective, grafiğini tespit için kullanılanlarla aynı türdeki telemetri kaynaklarından oluşturur: CloudTrail yönetim olayları, VPC Flow Logs ve GuardDuty bulguları ile EKS denetim günlükleri. Yoğun ilişkilendirme işlemini otomatik olarak gerçekleştirir; bu kaynakları elle bir araya getirmeniz gerekmez.

GuardDuty gibi Detective de aracısız ve tamamen yönetilen bir hizmettir. Hizmeti etkinleştirirsiniz, o da ihtiyaç duyduğu verileri alır; günlük işlem hatları veya depolama oluşturmanız gerekmez. Ayrıca ilişkilendirilmiş etkinlikleri yaklaşık bir yıl boyunca saklar; böylece saklama süresini yönetmeden incelemeler için uzun bir geçmişe bakabilirsiniz.

Detective, her varlık için neyin normal olduğunu öğrenmek ve ardından sapmaları öne çıkarmak üzere makine öğrenimini ve istatistikleri kullanır. Temel davranışı bilmek, araştırmacının örneğin bir örneğin aniden normalden çok daha fazla API çağrısı yaptığını görmesini sağlar; bu, güvenliğin ihlal edildiğine dair güçlü bir işarettir.

Grafik, etkileşimli görselleştirmeler olarak sunulur: zaman çizelgeleri, her varlık için profiller ve etkinlik grafikleri. Analist, bir izi takip etmek için ilişkili varlıklar arasında tıklayarak ilerler. Bu görsel yaklaşım, saatler süren günlük arama işlemini yönlendirilmiş bir keşfe dönüştürür.

Önemli ayrım şudur: GuardDuty tespit eder, Detective inceler. GuardDuty bir bulgu oluşturur; Detective ise kapsamı, temel nedeni ve etkisini belirlemenize yardımcı olur. İkisi birbirini tamamlar ve ihtiyaç inceleme ile temel neden analiziyse sınav, Detective'i seçmenizi bekler.

Detective, AWS Organizations ile bütünleşir ve yetkili yönetici rolünü destekler. Böylece bir güvenlik hesabı, tüm üye hesaplarındaki etkinlikleri tek bir davranış grafiğinde inceleyebilir. Bu yapı, tutarlı çok hesaplı işlemler için GuardDuty ve Security Hub'ın yaklaşımını yansıtır.

Detective, davranış grafiğinde yaklaşık bir yıllık ilişkilendirilmiş etkinliği saklar; bu süre GuardDuty'nin varsayılan bulgu saklama süresinden çok daha uzundur. Bu uzun geçmişe bakış, araştırmacıların şüpheli davranışın haftalar önce başlayıp başlamadığını görmesini sağlar ve kısa bir zaman aralığının gözden kaçıracağı yavaş, gizli sızmaları ortaya çıkarır. Genişletilmiş geçmiş, Detective'in tespiti tekrarlamak yerine onu tamamlamasının temel nedenlerinden biridir.

Pratik bir ayrıntı: Detective'i etkinleştirebilmeniz için GuardDuty'nin belirli bir süre (yaklaşık 48 saat) etkinleştirilmiş olması gerekir. Bunun nedeni, Detective'in davranış grafiğini başlatmak için GuardDuty bulgularını ve aynı temel telemetriyi kullanmasıdır. Bu iki hizmet, tespitin incelemeyi beslediği birbirini tamamlayan bir yapı olarak tasarlanmıştır.

Tespit ile inceleme arasındaki farkı ayırt ediniz.

Detective, aracısız ve yönetilen bir inceleme hizmetidir. CloudTrail, VPC Flow Logs, GuardDuty bulguları ve EKS denetim günlüklerini varlıklar ile etkileşimlerden oluşan bir davranış grafiğinde ilişkilendirir, normal davranışın temelini oluşturur ve yaklaşık bir yıllık geçmişe bakış sunan etkileşimli görselleştirmeler sağlar. GuardDuty tespit eder; Detective temel nedeni ve kapsamı inceler.