Cos'è Amazon Detective?

I gruppi di ricerca investigativa consentono di esaminare più attività in relazione a un potenziale evento di sicurezza. È possibile analizzare la causa principale dei GuardDuty risultati di elevata gravità utilizzando i gruppi di ricerca. Se un autore della minaccia sta tentando di compromettere AWS l'ambiente, in genere esegue una sequenza di azioni che genera molteplici risultati di sicurezza e comportamenti insoliti.

La pagina dei gruppi di ricerca di Detective mostra tutti i gruppi di risultati correlati estratti dal grafico del comportamento. Per ulteriori informazioni su come sfruttare i gruppi di ricerca per analizzare la causa principale dei risultati di sicurezza, vedi Analisi dei gruppi di ricerca in Detective.

Detective fornisce una visualizzazione interattiva di ciascun gruppo di ricerca per aiutarti a indagare sui problemi di sicurezza in modo più rapido e completo. La visualizzazione è progettata per mostrare le entità e i risultati coinvolti in un incidente di sicurezza, facilitando la comprensione delle connessioni e delle cause principali e aiutandoti a indagare sui problemi più velocemente e in modo più approfondito con meno sforzo. Il pannello Finding group Visualization mostra i risultati e le entità coinvolte in un gruppo di ricerca.

Con Detective Investigation puoi analizzare gli utenti e i ruoli IAM utilizzando indicatori di compromissione, che possono aiutarti a determinare se una risorsa è coinvolta in un incidente di sicurezza. Un indicatore di compromissione (IOC) è un artefatto osservato all'interno o su una rete, un sistema o un ambiente in grado di identificare (con un elevato livello di sicurezza) attività dannose o incidenti di sicurezza. Con le indagini investigative, puoi massimizzare l'efficienza, concentrarti sulle minacce alla sicurezza e rafforzare le capacità di risposta agli incidenti.

Detective Investigation utilizza modelli di machine learning e intelligence sulle minacce per individuare solo i problemi più critici e sospetti, consentendoti di concentrarti sulle indagini di alto livello. Analizza automaticamente le risorse presenti nell' AWS ambiente per identificare potenziali indicatori di compromissione o attività sospette. Ciò consente di identificare i modelli e comprendere quali risorse sono interessate dagli eventi di sicurezza, offrendo un approccio proattivo all'identificazione e alla mitigazione delle minacce.

Puoi utilizzare Avvia un'indagine investigativa dalla console Detective eseguendo un'indagine investigativa. https://docs.aws.amazon.com/ Per eseguire un'indagine a livello di codice, utilizza il StartInvestigation funzionamento dell'API Detective. Per eseguire un'indagine utilizzando AWS Command Line Interface (AWS CLI), esegui il comando start-investigation. https://awscli.amazonaws.com/v2/documentation/api/latest/reference/detective/start-investigation.html

Detective si integra con Amazon Security Lake, il che significa che puoi interrogare e recuperare i dati di registro grezzi archiviati da Security Lake. Con questa integrazione, puoi raccogliere registri ed eventi dalle seguenti fonti, supportate in modo nativo da Security Lake.

Dopo aver integrato Detective con Security Lake, Detective inizia a estrarre i log grezzi da Security Lake relativi agli eventi di AWS CloudTrail gestione e ai log di flusso di Amazon VPC. Puoi interrogare i log non elaborati per visualizzare i log e gli eventi in Detective.

Con Detective puoi esaminare in modo interattivo i dettagli delle attività dei flussi di rete del cloud privato virtuale (VPC) delle tue istanze Amazon Elastic Compute Cloud (Amazon EC2) e dei pod Kubernetes. Detective raccoglie automaticamente i log dei flussi VPC dagli account monitorati, li aggrega per istanza EC2 e presenta riepiloghi visivi e analisi su questi flussi di rete.

Per un'istanza EC2, i dettagli dell'attività per Volume globale dei flussi VPC mostrano le interazioni tra l'istanza EC2 e gli indirizzi IP durante un intervallo di tempo selezionato.

Per un pod Kubernetes, Volume globale dei flussi VPC mostra il volume complessivo di byte in entrata e in uscita dall'indirizzo IP assegnato al pod Kubernetes per tutti gli indirizzi IP di destinazione.

Console di gestione AWS È un'interfaccia basata su browser che puoi utilizzare per creare e gestire risorse. AWS Come parte di tale console, la console Amazon Detective fornisce l'accesso al tuo account, ai dati e alle risorse di Detective. Puoi eseguire qualsiasi attività di Detective utilizzando la console Detective: esamina le potenziali minacce alla sicurezza e analizza, indaga e identifica la causa principale dei risultati di sicurezza.

Con gli strumenti da riga di AWS comando, puoi impartire comandi dalla riga di comando del tuo sistema per eseguire attività e AWS attività di Detective. L'uso della riga di comando può essere più rapido e conveniente rispetto all'utilizzo della console. Gli strumenti a riga di comando sono inoltre utili per creare script che eseguono le attività di .

AWS fornisce due set di strumenti da riga di comando: AWS Command Line Interface (AWS CLI) e AWS Strumenti per PowerShell. Per informazioni sull'installazione e l'utilizzo di AWS CLI, consultare la Guida AWS Command Line Interface per l'utente. Per informazioni sull'installazione e l'uso degli Strumenti per PowerShell, consulta la Guida per AWS Strumenti per PowerShell l'utente.

AWS fornisce SDK costituiti da librerie e codice di esempio per vari linguaggi e piattaforme di programmazione, ad esempio Java, Go, Python, C++ e .NET. Gli SDK forniscono un comodo accesso programmatico a Detective e altro. Servizi AWS Gestiscono inoltre attività come la firma crittografica delle richieste, la gestione degli errori e il ritentativo automatico delle richieste. Per informazioni sull'installazione e l'utilizzo degli AWS SDK, consulta Tools to Build on. AWS

L'API REST di Amazon Detective ti offre un accesso programmatico completo all'account, ai dati e alle risorse di Detective. Con questa API, puoi inviare richieste HTTPS direttamente a Detective. Tuttavia, a differenza degli strumenti a riga di AWS comando e degli SDK, l'uso di questa API richiede che l'applicazione gestisca dettagli di basso livello, come la generazione di un hash per firmare una richiesta. Per informazioni su questa API, consulta il Detective API Reference.

AWS Security Hub CSPM ti offre una visione completa dello stato di sicurezza delle tue AWS risorse e ti aiuta a confrontare il tuo AWS ambiente rispetto agli standard e alle best practice del settore della sicurezza. Lo fa in parte consumando, aggregando, organizzando e dando priorità ai risultati di sicurezza provenienti da diversi prodotti AWS Partner Network Servizi AWS (APN) supportati (incluso Detective). Security Hub CSPM ti aiuta ad analizzare le tendenze di sicurezza e a identificare i problemi di sicurezza con la massima priorità nel tuo ambiente. AWS

Per saperne di più su Security Hub CSPM, consulta la Guida per l'utente. AWS Security Hub CSPM

Amazon GuardDuty è un servizio di monitoraggio della sicurezza che analizza ed elabora determinati tipi di AWS log, come i log degli eventi relativi AWS CloudTrail ai dati per Amazon S3 e CloudTrail i log degli eventi di gestione. Utilizza feed di intelligence sulle minacce, come elenchi di indirizzi IP e domini dannosi e l'apprendimento automatico per identificare attività impreviste, potenzialmente non autorizzate e dannose all'interno del tuo ambiente. AWS

Per saperne di più GuardDuty, consulta la Amazon GuardDuty User Guide.

Amazon Security Lake è un servizio di data lake di sicurezza completamente gestito. Puoi utilizzare Security Lake per centralizzare automaticamente i dati di sicurezza provenienti da AWS ambienti, provider SaaS, fonti locali, fonti cloud e fonti di terze parti in un data lake appositamente creato e archiviato nel tuo account. AWS Security Lake ti aiuta ad analizzare i dati di sicurezza in modo da ottenere un quadro più completo del tuo livello di sicurezza in tutta l'organizzazione. Con Security Lake, puoi anche migliorare la protezione di carichi di lavoro, applicazioni e dati.

Per ulteriori informazioni su Security Lake, consulta la Amazon Security Lake User Guide. Per ulteriori informazioni sull'utilizzo congiunto di Detective e Security Lake, consultaIntegrazione di Amazon Detective con Amazon Security Lake.