Présentation d’Amazon Detective

Les groupes Detective Finding vous permettent d'examiner plusieurs activités liées à un événement de sécurité potentiel. Vous pouvez analyser la cause première des GuardDuty résultats très graves à l'aide de groupes de recherche. Si un auteur de menaces tente de compromettre votre AWS environnement, il exécute généralement une séquence d'actions qui génèrent de multiples résultats de sécurité et des comportements inhabituels.

La page des groupes de recherche de Detective affiche tous les groupes de recherche associés extraits de votre graphe de comportement dans la page des groupes de recherche. Vous pouvez observer des preuves pour différents types principaux (tels que IAM l'utilisateur ou IAM le rôle). Pour certains types de preuves, vous pouvez observer les preuves pour tous les comptes.

Detective fournit une visualisation interactive de chaque groupe de recherche pour vous aider à étudier les problèmes de sécurité plus rapidement et de manière plus approfondie. La visualisation est conçue pour afficher les entités et les résultats impliqués dans un incident de sécurité, ce qui facilite la compréhension des connexions et des causes profondes. Elle vous aide à étudier les problèmes plus rapidement et de manière plus approfondie avec moins d'efforts. Le volet de visualisation de groupe de résultats affiche les résultats et les entités impliquées dans un groupe de résultats.

Avec Detective Investigation, vous pouvez enquêter sur IAM les utilisateurs et les IAM rôles à l'aide d'indicateurs de compromission, qui peuvent vous aider à déterminer si une ressource est impliquée dans un incident de sécurité. Un indicateur de compromission (IOC) est un artefact observé dans ou sur un réseau, un système ou un environnement qui peut (avec un niveau de confiance élevé) identifier une activité malveillante ou un incident de sécurité. Avec Detective investigations, vous pouvez optimiser l'efficacité, vous concentrer sur les menaces de sécurité et renforcer les capacités de réponse aux incidents.

Detective Investigation utilise des modèles d'apprentissage automatique et des informations sur les menaces pour détecter uniquement les problèmes les plus critiques et les plus suspects, vous permettant ainsi de vous concentrer sur des enquêtes de haut niveau. Il analyse automatiquement les ressources de votre AWS environnement afin d'identifier les indicateurs potentiels de compromission ou d'activité suspecte. Cela vous permet d'identifier les modèles et de comprendre quelles ressources sont affectées par les événements de sécurité, offrant ainsi une approche proactive de l'identification et de l'atténuation des menaces.

Vous pouvez utiliser Start a Detective Investigation depuis la console Detective en exécutant une enquête Detective. Pour exécuter une enquête par programmation, utilisez le StartInvestigationDetective. API Si vous utilisez le AWS Command Line Interface (AWS CLI), exécutez la commande start-investigation.

Detective s'intègre à Amazon Security Lake, ce qui signifie que vous pouvez interroger et récupérer les données de journal brutes stockées par Security Lake. Grâce à cette intégration, vous pouvez collecter des journaux et des événements à partir des sources suivantes, prises en charge de manière native par Security Lake.

Après avoir intégré Detective à Security Lake, Detective commence à extraire les logs bruts de Security Lake relatifs aux événements AWS CloudTrail de gestion et à Amazon VPC Flow Logs. Vous pouvez interroger les journaux bruts pour consulter les journaux et les événements dans Detective.

Avec Detective, vous pouvez examiner de manière interactive les détails de l'activité des flux réseau de cloud privé virtuel (VPC) de vos instances Amazon Elastic Compute Cloud (AmazonEC2) et de vos pods Kubernetes. Detective collecte automatiquement les journaux de VPC flux de vos comptes surveillés, les agrège par EC2 instance et présente des résumés visuels et des analyses sur ces flux réseau.

Pour une EC2 instance, les détails de l'activité pour le volume de VPC flux global indiquent les interactions entre l'EC2instance et les adresses IP au cours d'une plage de temps sélectionnée.

Pour un pod Kubernetes, le volume de VPC flux global affiche le volume global d'octets entrant et sortant de l'adresse IP attribuée au pod Kubernetes pour toutes les adresses IP de destination.

AWS Management Console Il s'agit d'une interface basée sur un navigateur que vous pouvez utiliser pour créer et gérer AWS des ressources. Dans le cadre de cette console, la console Amazon Detective permet d'accéder à votre compte Detective, à vos données et à vos ressources. Vous pouvez effectuer n'importe quelle tâche de Detective à l'aide de la console Detective : passez en revue les menaces de sécurité potentielles et analysez, étudiez et identifiez la cause première des découvertes de sécurité.

Grâce aux outils de ligne de AWS commande, vous pouvez émettre des commandes sur la ligne de commande de votre système pour exécuter des tâches et AWS des tâches de Detective. L'utilisation de la ligne de commande peut être plus rapide et plus pratique que celle de la console. Les outils de ligne de commande sont également utiles si vous souhaitez créer des scripts exécutant des tâches .

AWS fournit deux ensembles d'outils de ligne de commande : le AWS Command Line Interface (AWS CLI) et le AWS Tools for PowerShell. Pour plus d'informations sur l'installation et l'utilisation du AWS CLI, consultez le guide de AWS Command Line Interface l'utilisateur. Pour plus d'informations sur l'installation et l'utilisation des outils pour PowerShell, consultez le guide de AWS Tools for PowerShell l'utilisateur.

AWS fournit SDKs des bibliothèques et des exemples de code pour divers langages de programmation et plateformes, par exemple Java, Go, Python, C++ et. NET. Ils SDKs fournissent un accès pratique et programmatique à Detective et à d'autres AWS services. Ils gèrent également des tâches telles que la signature cryptographique des demandes, la gestion des erreurs et le renouvellement automatique des demandes. Pour plus d'informations sur l'installation et l'utilisation du AWS SDKs, voir Outils sur lesquels s'appuyer AWS.

Amazon Detective vous REST API donne un accès complet et programmatique à votre compte Detective, à vos données et à vos ressources. Vous pouvez API ainsi envoyer des HTTPS demandes directement à Detective. Cependant, contrairement aux outils de ligne de AWS commandeSDKs, leur utilisation API nécessite que votre application gère des détails de bas niveau tels que la génération d'un hachage pour signer une demande. Pour plus d'informations à ce sujetAPI, consultez le Detective API Reference.

AWS Security Hub vous donne une vue complète de l'état de sécurité de vos AWS ressources et vous aide à vérifier que votre AWS environnement est conforme aux normes du secteur de la sécurité et aux meilleures pratiques. Pour ce faire, il utilise, agrège, organise et hiérarchise vos résultats de sécurité provenant de plusieurs produits AWS services (y compris Detective) et de AWS Partner Network (APN) pris en charge. Security Hub vous aide à analyser les tendances en matière de sécurité et à identifier les problèmes de sécurité les plus prioritaires dans votre AWS environnement.

Pour en savoir plus sur Security Hub, consultez le guide de AWS Security Hub l'utilisateur.

Amazon GuardDuty est un service de surveillance de la sécurité qui analyse et traite certains types de AWS journaux, tels que les journaux d'événements de AWS CloudTrail données pour Amazon S3 et les journaux d'événements CloudTrail de gestion. Il utilise des flux de renseignements sur les menaces, tels que des listes d'adresses IP et de domaines malveillants, et l'apprentissage automatique pour identifier les activités inattendues, potentiellement non autorisées et malveillantes au sein de votre AWS environnement.

Pour en savoir plus GuardDuty, consultez le guide de GuardDuty l'utilisateur Amazon.

Amazon Security Lake est un service de lac de données de sécurité entièrement géré. Vous pouvez utiliser Security Lake pour centraliser automatiquement les données de sécurité provenant des AWS environnements, des fournisseurs SaaS, des sources sur site, des sources cloud et des sources tierces dans un lac de données spécialement conçu et stocké dans votre compte. AWS Security Lake vous aide à analyser les données de sécurité, afin que vous puissiez mieux comprendre votre posture de sécurité dans l’ensemble de votre organisation. Avec Security Lake, vous pouvez également améliorer la protection des charges de travail, des applications et des données.

Pour en savoir plus sur Security Lake, consultez le guide de l'utilisateur d'Amazon Security Lake. Pour en savoir plus sur l'utilisation conjointe de Detective et Security Lake, consultezIntégration à Amazon Security Lake.