Varlıkları ve Zaman Aralıklarını Analiz Etme

Etkili bir inceleme iki soruyu birleştirir: hangi varlıklar işin içindeydi ve hangi zaman aralığında olağandışı davrandılar? Detective her ikisi üzerine kuruludur. Varlıkları ve zaman aralıklarını nasıl sunduğunu öğrenmek, grafiği hızlı ve güvenli biçimde okumanızı sağlar.

Detective'te varlık, grafiğin izlediği her şeydir: bir IAM kullanıcısı veya rolü, bir EC2 bulut sunucusu, bir AWS hesabı, bir IP adresi, bir kullanıcı aracısı ya da bulgunun kendisi. Her varlığın, nasıl davrandığını ve nelerle bağlantı kurduğunu özetleyen bir profil sayfası vardır.

Bir varlık profili, Detective'in tek bir varlık hakkında bildiği her şeyi panellerde toplar: zaman içindeki API çağrısı hacmi, etkinliklerin coğrafi konumları, bağlı kaynaklar ve gözlemlenen bulgular. Bu, tek bir aktörü veya kaynağı derinlemesine anlayabileceğiniz tek sayfadır.

Her profil, analiz ettiğiniz zaman aralığı olan bir kapsam süresiyle sınırlandırılır. Bir olayın çevresindeki döneme odaklanmak için bu aralığı genişletebilir veya daraltabilirsiniz. Detective, bu aralıktaki etkinliği varlığın uzun vadeli temel davranışıyla karşılaştırır.

Detective, temel davranışı kapsam aralığıyla karşılaştırır. Bir IAM rolü normalde saatte 50 çağrı yaparken bu aralıkta 5.000 çağrı yaptıysa, bu sapma hemen göze çarpar. Bu karşılaştırmaları okumak, normal gürültüyü gerçek anormalliklerden ayırmanızı sağlar.

Kimlik bulguları için Detective, bir varlığın işlem yaptığı coğrafi konumları ve IP'leri gösterir. Yalnızca alışık olduğunuz bir ülkeden kullanılan bir rolün kapsam süresi içinde aniden tanımadığınız bir ülkeden kullanılması, çalınmış kimlik bilgilerine güçlü biçimde işaret eder. Konum örüntüleri, incelemedeki en açık sinyaller arasındadır.

Detective, bir varlığın yaptığı API çağrılarını ayrıntılandırır: hangi eylemler, ne sıklıkta ve bunların ilgili varlık için yeni olup olmadığı. Aralık içinde kullanıcı oluşturma veya ilkeleri değiştirme gibi olağandışı eylemlerde görülen ani artış, rutin kullanımdan çok etkin bir saldırgana işaret eder.

Her profil bağlı varlıkları listeler: bir rolü çağıran IP'ler, bir kimlik bilgisinin eriştiği bulut sunucuları ve olaya dahil olan hesaplar. Bu bağlantıları zaman aralığı içinde takip etmek, olayı oluşturan etkinlik zincirini yeniden kurar.

İnceleme yinelemelidir: bir kapsam süresi belirlersiniz, bir şey bulursunuz ve ardından etkinliğin daha fazlasını yakalamak için aralığı ayarlarsınız. Daraltmak belirli olayı yalıtır; genişletmek daha önceki keşif faaliyetlerini veya sonraki yatay hareketi ortaya çıkarır. Detective bu kapsamı yeniden belirleme işlemini hızlandırır.

Detective, bir varlığın davranışını kapsam süresi boyunca bir zaman çizelgesi olarak sunar; grafikler artışları ve boşlukları bir bakışta görünür kılar. Bir noktanın üzerine geldiğinizde veya noktaya tıkladığınızda, temel çağrılar ya da bağlantılar gösterilir. Bu zaman çizelgesini okumayı öğrenmek, olağandışı davranışın tam olarak ne zaman başladığını belirlemenizi sağlar; bu an çoğu zaman güvenlik ihlalinin gerçekleştiği andır.

Detective analizini varlık türüne göre uyarlar. Bir IAM rolü veya kullanıcısı için varsayılan rol etkinliğini, coğrafi konumları ve API eylemlerini; bir EC2 bulut sunucusu için ağ bağlantılarını ve trafik hacmini; Kubernetes için EKS denetim günlüklerindeki pod ve kapsayıcı etkinliğini öne çıkarır. Her kaynak türü için hangi sinyallerin önemli olduğunu bilmek, bir olay sırasında profili nasıl okuyacağınızı netleştirir.

Bir varlığı zaman içinde okuyun.

Detective analizi, varlıkları (roller, kullanıcılar, bulut sunucuları, IP'ler, hesaplar) bir kapsam süresi aralığıyla eşleştirir. Varlık profilleri API çağrısı hacmini, coğrafi konumları ve bağlı varlıkları gösterir; kapsam dahilindeki etkinliği uzun vadeli temel davranışla karşılaştırır. API çağrılarındaki artışlar veya yeni konumlardan gelen etkinlikler gibi sapmalar güvenlik ihlalini ortaya çıkarır ve kanıtları takip etmek için aralığın kapsamını yinelemeli olarak yeniden belirlersiniz.