GuardDuty Bulgu Noktasından İlerleme

İncelemeler genellikle bir uyarıyla başlar. Detective, GuardDuty ile sıkı biçimde bütünleştiğinden bir bulgudan doğrudan davranış grafiğine geçebilirsiniz. Tek bir tıklamayla "bir şeyler yanlış" görünümünden, bu bulguyla ilişkili her şeyi içeren zengin ve bağlamsal bir görünüme geçersiniz.

GuardDuty ve Security Hub'daki bulgular, Detective'te incele eylemini içerir. Bu eylemi seçtiğinizde Detective, etkilenen örnek, IAM rolü veya uzak IP gibi bulgudaki varlıklara odaklanmış şekilde açılır. Bağlam önceden yüklenir ve kurulum için harcayacağınız zamandan tasarruf edersiniz.

Geçiş yaptığınızda bir varlık profiline ulaşırsınız. Bu sayfa, bir varlığın olağan davranışını, yakın zamanda yapılan değişiklikleri ve bağlantılarını özetler. Örneğin bulgudaki örnekten başlayarak API çağrısı hacmini, ağ etkinliğini ve tüm anormallikleri hemen görebilirsiniz.

Bir varlıktan ilişkili varlıklara geçiş yapabilirsiniz: örnekle iletişim kuran IP adresine, kimlik bilgileri kullanılan role veya saldırganın etkileşimde bulunduğu diğer kaynaklara. Her geçiş resmi genişletir ve saldırganın ortam içindeki yolunu adım adım izlemenizi sağlar.

Temel amaçlardan biri etki alanını belirlemektir: saldırgan başka nerelere dokundu? Detective'in ilişkilendirilmiş grafiği, yalnızca tek bir örneğin mi etkilendiğini yoksa kimlik bilgilerinin diğer kaynaklara mı yayıldığını gösterir. Bu kapsam belirleme, sınırlama işleminizin ne kadar geniş olması gerektiğine karar vermenizi sağlar.

Geçiş yapmak, bir bulgunun gerçek pozitif olup olmadığına karar vermenize de yardımcı olur. İlişkili etkinlik bilinen ve zararsız bir örüntüyle eşleşiyorsa bulguyu güvenle göz ardı edebilirsiniz. Daha şüpheli bir davranış ortaya çıkarsa olayı üst bir incelemeye taşırsınız. Her iki durumda da tahminlere değil, kanıtlara dayanarak hareket edersiniz.

Geçiş yaptığınızda Detective, bulgunun zaman aralığındaki etkinliği gösterir ve bunu varlığın geçmişteki temel davranışıyla karşılaştırır. Bir artışın bulgunun tetiklendiği anda başladığını görmek, bulgunun gerçek bir izinsiz girişe işaret ettiği görüşünü güçlendirir.

Kuruluş entegrasyonuyla bir geçiş, etkinliği hesaplar arasında takip edebilir. Güvenliği ihlal edilmiş bir kimlik bilgisi ikinci bir hesapta kullanıldıysa Detective bunu aynı grafikte gösterebilir. Bu önemlidir; çünkü saldırganlar genellikle hesaplar arasında yatay hareket eder.

Geçiş yapmak, günlük kayıtlarını elle ilişkilendirme gereğini ortadan kaldırarak incelemeyi saatlerden dakikalara indirir. Daha hızlı anlamak, daha hızlı sınırlama anlamına gelir ve bu da zararı doğrudan azaltır. Sınav, Detective'i bir GuardDuty uyarısıyla etkili bir yanıt arasındaki hızlandırıcı olarak ele alır.

Detective'te İncele eylemi yalnızca GuardDuty ile sınırlı değildir. GuardDuty'den gelen Security Hub bulguları da bu geçiş seçeneğini sunar; böylece birleştirilmiş panoyu sınıflandıran analist doğrudan davranış grafiğine geçebilir. Bu, merkezi konsol ile inceleme aracının doğrudan bağlandığı ve algılama-birleştirme-inceleme akışının kesintisiz kaldığı anlamına gelir.

Detective, ilişkili bulguları bulgu grupları halinde kümelendirebilir; bulguları, varlıkları ve bunları birbirine bağlayan etkinliği otomatik olarak tek bir incelenebilir birimde birleştirir. Tek bir bulgudan geçiş yapmak yerine, koordineli bir olayı zaten anlatan bir grupla başlarsınız. Bu, her seferinde tek bir uyarıyı değil, olayın tamamını görünür kılarak incelemeyi hızlandırır.

İnceleme iş akışının izini sürün.

Detective, Detective'te İncele eylemi aracılığıyla GuardDuty ile entegre olur. Geçiş yapmak bir varlık profilini açar; ilgili varlıkları izleyerek etki alanını belirlemenizi, etkinliği zaman bilgili bir temel davranışla karşılaştırmanızı ve yatay hareketi hesaplar arasında takip etmenizi sağlar. Böylece bir bulgu, hızlı ve kanıta dayalı bir inceleme ile yanıta dönüşür.