Présentation d’Amazon Detective

Les groupes de recherche de détectives vous permettent d'examiner plusieurs activités liées à un éventuel événement de sécurité. Vous pouvez analyser la cause première des GuardDuty résultats de gravité élevée à l'aide de groupes de recherche. Si un acteur malveillant tente de compromettre votre AWS environnement, il exécute généralement une série d'actions qui génèrent de multiples résultats de sécurité et des comportements inhabituels.

La page de recherche de groupes de Detective affiche tous les groupes de recherche associés extraits de votre graphique de comportement. Pour plus d'informations sur la manière dont vous pouvez tirer parti des groupes de recherche pour analyser la cause première des résultats de sécurité, voir Analyse des groupes de recherche dans Detective.

Detective propose une visualisation interactive de chaque groupe de recherche pour vous aider à étudier les problèmes de sécurité plus rapidement et de manière plus approfondie. La visualisation est conçue pour afficher les entités et les résultats impliqués dans un incident de sécurité, ce qui facilite la compréhension des connexions et des causes profondes. Elle vous aide à étudier les problèmes plus rapidement et de manière plus approfondie avec moins d'efforts. Le panneau de visualisation du groupe de recherche affiche les résultats et les entités impliquées dans un groupe de recherche.

Avec Detective Investigation, vous pouvez enquêter sur les utilisateurs et les rôles IAM à l'aide d'indicateurs de compromission, qui peuvent vous aider à déterminer si une ressource est impliquée dans un incident de sécurité. Un indicateur de compromission (IOC) est un artefact observé dans ou sur un réseau, un système ou un environnement qui peut (avec un niveau de confiance élevé) identifier une activité malveillante ou un incident de sécurité. Avec Detective Investigations, vous pouvez optimiser l'efficacité, vous concentrer sur les menaces de sécurité et renforcer les capacités de réponse aux incidents.

Detective Investigation utilise des modèles d'apprentissage automatique et des renseignements sur les menaces pour identifier uniquement les problèmes les plus critiques et les plus suspects, ce qui vous permet de vous concentrer sur des enquêtes de haut niveau. Il analyse automatiquement les ressources de votre AWS environnement afin d'identifier les indicateurs potentiels de compromission ou d'activité suspecte. Cela vous permet d'identifier des modèles et de comprendre quelles ressources sont touchées par les événements de sécurité, offrant ainsi une approche proactive de l'identification et de l'atténuation des menaces.

Vous pouvez utiliser Lancer une enquête de détective depuis la console de détective en exécutant une enquête de détective. Pour exécuter une enquête par programmation, utilisez le StartInvestigation fonctionnement de l'API Detective. Pour lancer une enquête à l'aide du AWS Command Line Interface (AWS CLI), exécutez la commande start-investigation.

Detective s'intègre à Amazon Security Lake, ce qui signifie que vous pouvez interroger et récupérer les données de journal brutes stockées par Security Lake. Grâce à cette intégration, vous pouvez collecter des journaux et des événements à partir des sources suivantes, que Security Lake prend en charge de manière native.

Une fois que vous avez intégré Detective à Security Lake, Detective commence à extraire les journaux bruts de Security Lake relatifs aux événements de AWS CloudTrail gestion et aux journaux de flux Amazon VPC. Vous pouvez interroger les journaux bruts pour consulter les journaux et les événements dans Detective.

Avec Detective, vous pouvez examiner de manière interactive les détails de l'activité des flux réseau de cloud privé virtuel (VPC) de vos instances Amazon Elastic Compute Cloud (Amazon EC2) et de vos pods Kubernetes. Detective collecte automatiquement les journaux de flux VPC à partir de vos comptes surveillés, les regroupe par instance EC2 et présente des résumés visuels et des analyses sur ces flux réseau.

Pour une instance EC2, les détails de l’activité pour le volume global de flux VPC indiquent les interactions entre l’instance EC2 et les adresses IP pendant une plage de temps sélectionnée.

Pour un pod Kubernetes, le volume global de flux VPC affiche le volume global d’octets entrant et sortant de l’adresse IP attribuée au pod Kubernetes pour toutes les adresses IP de destination.

Console de gestion AWS Il s'agit d'une interface basée sur un navigateur que vous pouvez utiliser pour créer et gérer AWS des ressources. Dans le cadre de cette console, la console Amazon Detective permet d'accéder à votre compte Detective, à vos données et à vos ressources. Vous pouvez effectuer n'importe quelle tâche de Détective à l'aide de la console Detective : examiner les menaces de sécurité potentielles et analyser, étudier et identifier la cause première des résultats de sécurité.

Les outils de ligne de AWS commande vous permettent d'émettre des commandes sur la ligne de commande de votre système pour exécuter des tâches et AWS des tâches de détection. L'utilisation de la ligne de commande peut être plus rapide et plus pratique que l'utilisation de la console. Les outils de ligne de commande sont également utiles si vous souhaitez créer des scripts exécutant des tâches .

AWS fournit deux ensembles d'outils de ligne de commande : le AWS Command Line Interface (AWS CLI) et le Outils AWS pour PowerShell. Pour plus d'informations sur l'installation et l'utilisation de AWS CLI, consultez le Guide de AWS Command Line Interface l'utilisateur. Pour plus d'informations sur l'installation et l'utilisation des Outils pour PowerShell, consultez le Guide de Outils AWS pour PowerShell l'utilisateur.

AWS fournit des kits SDK composés de bibliothèques et d'exemples de code pour différents langages de programmation et plateformes, par exemple Java, Go, Python, C++ et .NET. Les SDK fournissent un accès programmatique pratique à Detective et à d'autres applications. Services AWS Ils gèrent également des tâches telles que la signature cryptographique des demandes, la gestion des erreurs et les nouvelles tentatives automatiques de demandes. Pour plus d'informations sur l'installation et l'utilisation des AWS kits SDK, consultez la section Outils sur AWS lesquels s'appuyer.

L'API REST Amazon Detective vous donne un accès complet et programmatique à votre compte Detective, à vos données et à vos ressources. Grâce à cette API, vous pouvez envoyer des requêtes HTTPS directement à Detective. Cependant, contrairement aux outils de ligne de AWS commande et aux SDK, l'utilisation de cette API nécessite que votre application gère des détails de bas niveau tels que la génération d'un hachage pour signer une demande. Pour plus d'informations sur cette API, consultez le Detective API Reference.

AWS Security Hub CSPM vous donne une vue complète de l'état de sécurité de vos AWS ressources et vous aide à vérifier la conformité de votre AWS environnement aux normes et aux meilleures pratiques du secteur de la sécurité. Pour ce faire, il utilise, regroupe, organise et hiérarchise vos résultats de sécurité provenant de plusieurs produits Services AWS (y compris Detective) et pris en charge par AWS Partner Network (APN). Security Hub CSPM vous aide à analyser vos tendances en matière de sécurité et à identifier les problèmes de sécurité les plus prioritaires dans votre AWS environnement.

Pour en savoir plus sur Security Hub CSPM, consultez le Guide de l'AWS Security Hub CSPM utilisateur.

Amazon GuardDuty est un service de surveillance de la sécurité qui analyse et traite certains types de AWS journaux, tels que les journaux d'événements de AWS CloudTrail données pour Amazon S3 et les journaux d'événements de CloudTrail gestion. Il utilise des flux de renseignements sur les menaces, tels que des listes d'adresses IP et de domaines malveillants, et l'apprentissage automatique pour identifier les activités malveillantes et inattendues et potentiellement non autorisées au sein de votre AWS environnement.

Pour en savoir plus GuardDuty, consultez le guide de GuardDuty l'utilisateur Amazon.

Amazon Security Lake est un service de lac de données de sécurité entièrement géré. Vous pouvez utiliser Security Lake pour centraliser automatiquement les données de sécurité provenant d' AWS environnements, de fournisseurs SaaS, de sources sur site, de sources cloud et de sources tierces dans un lac de données spécialement conçu et stocké dans votre compte. AWS Security Lake vous aide à analyser les données de sécurité, afin que vous puissiez mieux comprendre votre posture de sécurité dans l’ensemble de votre organisation. Avec Security Lake, vous pouvez également améliorer la protection des charges de travail, des applications et des données.

Pour en savoir plus sur Security Lake, consultez le guide de l'utilisateur d'Amazon Security Lake. Pour en savoir plus sur l'utilisation conjointe de Detective et Security Lake, consultezIntégration d'Amazon Detective à Amazon Security Lake.