O que é o Amazon Detective?

Detectives que buscam grupos permitem que você examine várias atividades relacionadas a um possível evento de segurança. Você pode analisar a causa raiz das GuardDuty descobertas de alta severidade usando grupos de localização. Se um agente de ameaças está tentando comprometer seu AWS ambiente, ele normalmente executa uma sequência de ações que geram várias descobertas de segurança e comportamentos incomuns.

A página de busca de grupos no Detective exibe todos os grupos de descoberta relacionados extraídos do seu gráfico de comportamento. Para obter mais informações sobre como você pode aproveitar a localização de grupos para analisar a causa raiz das descobertas de segurança, consulte Analisando grupos de localização no Detective.

Detective fornece uma visualização interativa de cada grupo de descoberta para ajudá-lo a investigar problemas de segurança com mais rapidez e profundidade. A visualização foi projetada para exibir entidades e descobertas envolvidas em um incidente de segurança, facilitando a compreensão das conexões e das causas-raiz. Ajuda você a investigar problemas de forma mais rápida e completa com menos esforço. O painel Visualização do grupo de descoberta exibe as descobertas e as entidades envolvidas em um grupo de descoberta.

Com o Detective Investigation, você pode investigar IAM usuários e IAM funções usando indicadores de comprometimento, que podem ajudá-lo a determinar se um recurso está envolvido em um incidente de segurança. Um indicador de comprometimento (IOC) é um artefato observado em ou em uma rede, sistema ou ambiente que pode (com um alto nível de confiança) identificar atividades maliciosas ou um incidente de segurança. Com as investigações de Detective, você pode maximizar a eficiência, focar nas ameaças à segurança e fortalecer as capacidades de resposta a incidentes.

O Detective Investigation usa modelos de aprendizado de máquina e inteligência de ameaças para identificar apenas os problemas mais críticos e suspeitos, permitindo que você se concentre em investigações de alto nível. Ele analisa automaticamente os recursos em seu AWS ambiente para identificar possíveis indicadores de comprometimento ou atividade suspeita. Isso permite identificar padrões e compreender quais recursos são afetados por eventos de segurança, oferecendo uma abordagem proativa para identificação e mitigação de ameaças.

Você pode iniciar uma investigação de detetive no console de detetives executando uma investigação de detetive. Para executar uma investigação programaticamente, use a StartInvestigationoperação do Detetive. API Para executar uma investigação usando o AWS Command Line Interface (AWS CLI), execute o comando start-investigation.

O Detective se integra ao Amazon Security Lake, o que significa que você pode consultar e recuperar os dados de log brutos armazenados pelo Security Lake. Com essa integração, você pode coletar registros e eventos das seguintes fontes, às quais o Security Lake oferece suporte nativo.

Depois de integrar o Detective com o Security Lake, o Detective começa a extrair registros brutos do Security Lake relacionados a AWS CloudTrail eventos de gerenciamento e Amazon Flow Logs. VPC Você pode consultar registros brutos para ver os registros e eventos no Detective.

Com o Detective, você pode examinar interativamente os detalhes da atividade dos fluxos de rede da nuvem privada virtual (VPC) de suas instâncias do Amazon Elastic Compute Cloud (AmazonEC2) e pods do Kubernetes. Detective coleta automaticamente os registros de VPC fluxo de suas contas monitoradas, os agrega por EC2 instância e apresenta resumos visuais e análises sobre esses fluxos de rede.

EC2Por exemplo, os detalhes da atividade do Volume geral de VPC fluxo mostram as interações entre a EC2 instância e os endereços IP durante um intervalo de tempo selecionado.

Para um pod do Kubernetes, o volume geral de VPC fluxo exibe o volume geral de bytes que entram e saem do endereço IP atribuído ao pod do Kubernetes para todos os endereços IP de destino.

AWS Management Console É uma interface baseada em navegador que você pode usar para criar e gerenciar AWS recursos. Como parte desse console, o console do Amazon Detective fornece acesso à sua conta, dados e recursos de Detective. Você pode realizar qualquer tarefa de Detective usando o console do Detective — analise possíveis ameaças à segurança e analise, investigue e identifique a causa raiz das descobertas de segurança.

Com as ferramentas de linha de AWS comando, você pode emitir comandos na linha de comando do seu sistema para realizar tarefas e AWS tarefas de Detective. Usar a linha de comando pode ser mais rápido e mais conveniente do que usar o console. As ferramentas da linha de comando também são úteis se você quiser criar scripts que realizem tarefas.

AWS fornece dois conjuntos de ferramentas de linha de comando: o AWS Command Line Interface (AWS CLI) e AWS Tools for PowerShell o. Para obter informações sobre como instalar e usar o AWS CLI, consulte o Guia AWS Command Line Interface do usuário. Para obter informações sobre como instalar e usar as Ferramentas para PowerShell, consulte o Guia AWS Tools for PowerShell do usuário.

AWS SDKsfornecimentos que consistem em bibliotecas e exemplos de código para várias linguagens e plataformas de programação — por exemplo, Java, Go, Python, C++ e. NET. Eles SDKs fornecem acesso conveniente e programático a Detective e outros. Serviços da AWS Eles também incluem tarefas como assinatura criptográfica de solicitações, gerenciamento de erros e novas tentativas automáticas de solicitações. Para obter informações sobre como instalar e usar o AWS SDKs, consulte Ferramentas para construir AWS.

O Amazon Detective REST API oferece acesso abrangente e programático à sua conta, dados e recursos de Detective. Com issoAPI, você pode enviar HTTPS solicitações diretamente para o Detective. No entanto, diferentemente das ferramentas de linha de AWS comandoSDKs, o uso delas API exige que seu aplicativo manipule detalhes de baixo nível, como gerar um hash para assinar uma solicitação. Para obter informações sobre issoAPI, consulte a Referência de Detectives. API

AWS Security Hub oferece uma visão abrangente do estado de segurança de seus AWS recursos e ajuda a verificar seu AWS ambiente em relação aos padrões e às melhores práticas de segurança do setor. Ele faz isso em parte consumindo, agregando, organizando e priorizando suas descobertas de segurança de vários produtos ( Serviços da AWS incluindo Detective) e compatíveis da AWS Partner Network (). APN O Security Hub ajuda você a analisar suas tendências de segurança e identificar os problemas de segurança de maior prioridade em seu AWS ambiente.

Para saber mais sobre o Security Hub, consulte o Guia do usuário da AWS Security Hub.

GuardDuty A Amazon é um serviço de monitoramento de segurança que analisa e processa certos tipos de AWS registros, como registros de eventos de AWS CloudTrail dados para o Amazon S3 CloudTrail e registros de eventos de gerenciamento. Ele usa feeds de inteligência de ameaças, como listas de endereços IP e domínios maliciosos, e aprendizado de máquina para identificar atividades inesperadas, potencialmente não autorizadas e maliciosas em seu ambiente. AWS

Para saber mais sobre isso GuardDuty, consulte o Guia GuardDuty do usuário da Amazon.

O Amazon Security Lake é um serviço de data lake de segurança totalmente gerenciado. Você pode usar o Security Lake para centralizar automaticamente os dados de segurança de AWS ambientes, provedores de SaaS, fontes locais, fontes de nuvem e fontes de terceiros em um data lake específico que é armazenado em sua conta. AWS O Security Lake ajuda você a analisar dados de segurança, para que você tenha uma compreensão mais integral das posturas de segurança de toda a organização. Com o Security Lake, você também pode melhorar a proteção das suas workloads, aplicações e dados.

Para saber mais sobre o Security Lake, consulte o Guia do usuário do Amazon Security Lake. Para saber mais sobre como usar Detective e Security Lake juntos, consulte. Integração do Amazon Detective com o Amazon Security Lake