Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Erkenntnisgruppen analysieren
Mithilfe von Amazon-Detective-Erkenntnisgruppen können Sie mehrere Aktivitäten untersuchen, da sie sich auf ein potenzielles Sicherheitsereignis beziehen. Eine Suchgruppe in Amazon Detective wird erstellt, wenn Detective ein Muster oder eine Beziehung zwischen mehreren Ergebnissen feststellt, die darauf hindeuten, dass sie mit demselben potenziellen Sicherheitsvorfall zusammenhängen. Diese Gruppierung hilft dabei, verwandte Ergebnisse effizienter zu verwalten und zu untersuchen.
Mithilfe von Suchgruppen können Sie die Grundursache für GuardDuty Befunde mit hohem Schweregrad analysieren. Wenn ein Bedrohungsakteur versucht, Ihre AWS Umgebung zu gefährden, führt er in der Regel eine Abfolge von Aktionen durch, die zu mehreren Sicherheitsergebnissen und ungewöhnlichen Verhaltensweisen führen. Diese Aktionen sind häufig über mehrere Zeiträume und Entitäten verteilt. Wenn Sicherheitserkenntnisse isoliert untersucht werden, kann dies zu einer Fehlinterpretation ihrer Bedeutung und zu Schwierigkeiten bei der Suche nach der Ursache führen. Amazon Detective löst dieses Problem, indem es eine Diagrammanalysetechnik anwendet, die Beziehungen zwischen Erkenntnissen und Entitäten ableitet und diese gruppiert. Wir empfehlen, Erkenntnisgruppen als Ausgangspunkt für die Untersuchung der beteiligten Entitäten und Erkenntnisse zu verwenden.
Detective analysiert Daten aus Erkenntnissen und gruppiert sie mit anderen Erkenntnissen, die aufgrund der gemeinsamen genutzten Ressourcen wahrscheinlich verwandt sind. Beispielsweise sind Erkenntnisse in Zusammenhang mit Aktionen, die von denselben IAM-Rollensitzungen ausgeführt wurden oder von derselben IP-Adresse stammen, sehr wahrscheinlich Teil derselben zugrunde liegenden Aktivität. Es ist ratsam, Erkenntnisse und Beweise als Gruppe zu untersuchen, auch wenn die von Detective gemachten Assoziationen nicht miteinander zusammenhängen.
Suchgruppen werden auf der Grundlage der folgenden Kriterien erstellt.
-
Zeitliche Nähe — Ergebnisse, die innerhalb eines engen Zeitrahmens auftreten, werden häufig zu Gruppen zusammengefasst, da sie sich wahrscheinlich auf denselben Vorfall beziehen.
-
Gemeinsame Entitäten — Ergebnisse, an denen dieselben Entitäten wie IP-Adressen, Benutzer oder Ressourcen beteiligt sind, werden in Gruppen zusammengefasst. Dies hilft beim Verständnis des Ausmaßes des Vorfalls in verschiedenen Teilen der Umgebung.
-
Muster und Verhalten — Detective analysiert Muster und Verhaltensweisen in den Ergebnissen, z. B. ähnliche Arten von Angriffen oder verdächtige Aktivitäten, um Zusammenhänge zu ermitteln und sie entsprechend zu gruppieren.
-
Taktiken, Techniken und Verfahren (TTPs) — Ergebnisse, die ähnliche TTPs aufweisen, wie sie in Frameworks wie MITRE ATT&CK beschrieben werden, werden gruppiert, um potenzielle koordinierte Angriffe aufzuzeigen.
Diese Kriterien helfen dabei, den Untersuchungsprozess zu optimieren, sodass Sie sich auf korrelierte Ergebnisse konzentrieren können, die wahrscheinlich denselben Sicherheitsvorfall darstellen.
Neben den Erkenntnissen umfasst jede Gruppe auch Einrichtungen, die von den Erkenntnissen betroffen sind. Die Entitäten können auch Ressourcen außerhalb von AWS IP-Adressen oder Benutzeragenten enthalten.
Anmerkung
Nach einem ersten GuardDuty Befund, der mit einem anderen Befund zusammenhängt, wird innerhalb von 48 Stunden die Ergebnisgruppe mit allen zugehörigen Ergebnissen und allen beteiligten Entitäten erstellt.
