Was ist Amazon Detective?

Mithilfe von Ermittlungsgruppen können Sie mehrere Aktivitäten untersuchen, da sie sich auf ein potenzielles Sicherheitsereignis beziehen. Mithilfe von Suchgruppen können Sie die Grundursache für GuardDuty Befunde mit hohem Schweregrad analysieren. Wenn ein Bedrohungsakteur versucht, Ihre AWS Umgebung zu gefährden, führt er in der Regel eine Abfolge von Aktionen aus, die zu mehreren Sicherheitsergebnissen und ungewöhnlichen Verhaltensweisen führen.

Auf der Seite „Suchgruppen“ in Detective werden alle zugehörigen Ergebnisgruppen angezeigt, die aus Ihrem Verhaltensdiagramm extrahiert wurden. Weitere Informationen darüber, wie Sie mithilfe von Suchgruppen die Ursache von Sicherheitsergebnissen analysieren können, finden Sie unter Suchgruppen in Detective analysieren.

Detective bietet eine interaktive Visualisierung jeder Ergebnisgruppe, damit Sie Sicherheitsprobleme schneller und gründlicher untersuchen können. Die Visualisierung ist so konzipiert, dass sie Entitäten und Ergebnisse darstellt, die an einem Sicherheitsvorfall beteiligt sind, sodass Zusammenhänge und Ursachen leichter zu verstehen sind. So können Sie Probleme schneller und gründlicher mit weniger Aufwand untersuchen. Im https://docs.aws.amazon.com/detective/latest/userguide/group-visual-finding-group.html Bereich „Visualisierung der Suchgruppe“ werden die Ergebnisse und Entitäten angezeigt, die an einer Suchgruppe beteiligt sind.

Mit Detective Investigation können Sie IAM-Benutzer und IAM-Rollen anhand von Bedrohungsindikatoren untersuchen, anhand derer Sie feststellen können, ob eine Ressource an einem Sicherheitsvorfall beteiligt ist. Ein Indikator für eine Gefährdung (IOC) ist ein Artefakt, das in oder auf einem Netzwerk, System oder einer Umgebung beobachtet wird und das (mit einem hohen Maß an Sicherheit) böswillige Aktivitäten oder einen Sicherheitsvorfall identifizieren kann. Mit Detective Investigations können Sie die Effizienz maximieren, sich auf die Sicherheitsbedrohungen konzentrieren und die Reaktionsfähigkeit bei Vorfällen verbessern.

Detective Investigation nutzt maschinelle Lernmodelle und Bedrohungsinformationen, um nur die kritischsten und verdächtigsten Probleme aufzudecken, sodass Sie sich auf die Ermittlungen auf hoher Ebene konzentrieren können. Es analysiert automatisch Ressourcen in Ihrer AWS Umgebung, um potenzielle Indikatoren für kompromittierte oder verdächtige Aktivitäten zu identifizieren. Auf diese Weise können Sie Muster erkennen und nachvollziehen, welche Ressourcen von Sicherheitsereignissen betroffen sind. So erhalten Sie einen proaktiven Ansatz zur Identifizierung und Minderung von Bedrohungen.

Sie können eine Kriminaluntersuchung von der Detective-Konsole aus starten, indem Sie eine Detektivuntersuchung ausführen. Verwenden Sie den StartInvestigation Vorgang der Detective API, um eine Untersuchung programmgesteuert durchzuführen. Um eine Untersuchung mit der AWS Command Line Interface (AWS CLI) durchzuführen, führen Sie den Befehl https://awscli.amazonaws.com/v2/documentation/api/latest/reference/detective/start-investigation.html start-investigation aus.

Detective ist in Amazon Security Lake integriert, was bedeutet, dass Sie die von Security Lake gespeicherten Rohprotokolldaten abfragen und abrufen können. Mit dieser Integration können Sie Protokolle und Ereignisse aus den folgenden Quellen sammeln, die Security Lake nativ unterstützt.

Nachdem Sie Detective in Security Lake integriert haben, beginnt Detective, Rohprotokolle aus Security Lake abzurufen, die sich auf AWS CloudTrail Verwaltungsereignisse und Amazon VPC Flow Logs beziehen. Sie können Rohprotokolle abfragen, um die Protokolle und Ereignisse in Detective einzusehen.

Mit Detective können Sie interaktiv die Aktivitätsdetails der Virtual Private Cloud (VPC) -Netzwerkflüsse Ihrer Amazon Elastic Compute Cloud (Amazon EC2) -Instances und Kubernetes-Pods untersuchen. Detective erfasst automatisch VPC-Flow-Logs von Ihren überwachten Konten, aggregiert sie nach EC2-Instances und präsentiert visuelle Zusammenfassungen und Analysen zu diesen Netzwerkflüssen.

Für eine EC2-Instance zeigen die Aktivitätsdetails für das Gesamte VPC-Datendurchflussvolumen die Interaktionen zwischen der EC2-Instance und IP-Adressen während eines ausgewählten Zeitraums.

Für einen Kubernetes-Pod zeigt Gesamtes VPC-Datendurchflussvolumen das Gesamtvolumen der Bytes an, die in die zugewiesene IP-Adresse des Kubernetes-Pods für alle Ziel-IP-Adressen ein- und ausgehen.

Das AWS-Managementkonsole ist eine browserbasierte Oberfläche, mit der Sie AWS Ressourcen erstellen und verwalten können. Als Teil dieser Konsole bietet die Amazon Detective-Konsole Zugriff auf Ihr Detective-Konto, Ihre Daten und Ressourcen. Mithilfe der Detective-Konsole können Sie jede Detektivaufgabe ausführen. Sie können potenzielle Sicherheitsbedrohungen überprüfen und die Ursache von Sicherheitslücken analysieren, untersuchen und identifizieren.

Mit AWS Befehlszeilentools können Sie Befehle an der Befehlszeile Ihres Systems ausgeben, um Detective-Aufgaben und AWS -Aufgaben auszuführen. Die Verwendung der Befehlszeile kann schneller und bequemer sein als die Verwendung der Konsole. Die Befehlszeilen-Tools können auch beim Erstellen von Skripts für -Aufgaben hilfreich sein.

AWS stellt zwei Sätze von Befehlszeilentools bereit: das AWS Command Line Interface (AWS CLI) und das AWS -Tools für PowerShell. Informationen zur Installation und Verwendung von finden Sie im AWS Command Line Interface Benutzerhandbuch. AWS CLI Informationen zur Installation und Verwendung der Tools für PowerShell finden Sie im AWS -Tools für PowerShell Benutzerhandbuch.

AWS stellt SDKs bereit, die aus Bibliotheken und Beispielcode für verschiedene Programmiersprachen und Plattformen bestehen, z. B. Java, Go, Python, C++ und.NET. Die SDKs bieten bequemen, programmatischen Zugriff auf Detective und andere. AWS-Services Sie erledigen auch Aufgaben wie das kryptografische Signieren von Anfragen, das Verwalten von Fehlern und das automatische Wiederholen von Anfragen. Informationen zur Installation und Verwendung der AWS SDKs finden Sie unter Tools, auf denen Sie aufbauen können. AWS

Die Amazon Detective REST-API bietet Ihnen umfassenden, programmatischen Zugriff auf Ihr Detective-Konto, Ihre Daten und Ressourcen. Mit dieser API können Sie HTTPS-Anfragen direkt an Detective senden. Im Gegensatz zu den AWS Befehlszeilentools und SDKs erfordert die Verwendung dieser API jedoch, dass Ihre Anwendung Details auf niedriger Ebene verarbeitet, z. B. das Generieren eines Hashs zum Signieren einer Anfrage. Informationen zu dieser API finden Sie in der Detective API-Referenz.

AWS Security Hub CSPM bietet Ihnen einen umfassenden Überblick über den Sicherheitsstatus Ihrer AWS Ressourcen und hilft Ihnen dabei, Ihre AWS Umgebung anhand der branchenüblichen Sicherheitsstandards und bewährten Verfahren zu überprüfen. Dies geschieht zum Teil, indem es Ihre Sicherheitsergebnisse aus mehreren AWS-Services (einschließlich Detective) und unterstützten AWS Partner Network (APN) -Produkten verarbeitet, aggregiert, organisiert und priorisiert. Security Hub CSPM hilft Ihnen dabei, Ihre Sicherheitstrends zu analysieren und die Sicherheitsprobleme mit der höchsten Priorität in Ihrer Umgebung zu identifizieren. AWS

Weitere Informationen zu Security Hub CSPM finden Sie im Benutzerhandbuch. AWS Security Hub CSPM

Amazon GuardDuty ist ein Sicherheitsüberwachungsdienst, der bestimmte Arten von AWS Protokollen analysiert und verarbeitet, z. B. AWS CloudTrail Datenereignisprotokolle für Amazon S3 und CloudTrail Verwaltungsereignisprotokolle. Er verwendet Feeds mit Bedrohungsinformationen wie Listen bösartiger IP-Adressen und Domains sowie maschinelles Lernen, um unerwartete und potenziell unbefugte und bösartige Aktivitäten in Ihrer AWS Umgebung zu identifizieren.

Weitere Informationen GuardDuty finden Sie im GuardDuty Amazon-Benutzerhandbuch.

Amazon Security Lake ist ein vollständig verwalteter Sicherheits-Data-Lake-Dienst. Sie können Security Lake verwenden, um Sicherheitsdaten aus AWS Umgebungen, SaaS-Anbietern, lokalen Quellen, Cloud-Quellen und Quellen von Drittanbietern automatisch in einem speziell entwickelten Data Lake zu zentralisieren, der in Ihrem Konto gespeichert wird. AWS Security Lake hilft Ihnen bei der Analyse von Sicherheitsdaten, sodass Sie sich ein umfassenderes Bild von der Sicherheitslage in Ihrem gesamten Unternehmen machen können. Mit Security Lake können Sie auch den Schutz Ihrer Workloads, Anwendungen und Daten verbessern.

Weitere Informationen zu Security Lake finden Sie im Amazon Security Lake-Benutzerhandbuch. Weitere Informationen zur gemeinsamen Verwendung von Detective und Security Lake finden Sie unterIntegration von Amazon Detective mit Amazon Security Lake.