Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Cómo entender un informe de investigaciones detectivescas
En un informe de investigaciones detectivescas se incluye un resumen del comportamiento poco frecuente o de la actividad malintencionada que indica una situación comprometida. También indica las recomendaciones que sugiere Detective para mitigar el riesgo de seguridad.
Para ver un informe de investigación con un ID de investigación específico.
-
Inicie sesión en la consola AWS de administración. A continuación, abra la consola de Detective en https://console.aws.amazon.com/detective/
. -
En el panel de navegación, elija Investigaciones.
-
En la tabla Informes, seleccione un ID de investigación.
Detective genera el informe para el tiempo y el rango temporal y el Usuario seleccionados. El informe contiene una sección sobre Indicadores de riesgo con detalles sobre uno o varios de los indicadores de riesgo que figuran a continuación. Al revisar cada indicador de riesgo, si lo desea, puede elegir un elemento para desglosarlo y revisar sus detalles.
-
Tácticas. Técnicas y procedimientos: identifica las tácticas, las técnicas y los procedimientos (TTP) utilizados en un posible incidente de seguridad. El marco MITRE ATT&CK se utiliza para comprender los TTP. Las tácticas se basan en la matriz MITRE ATT&CK para Enterprise
. -
Direcciones IP marcadas por inteligencia de amenazas: las direcciones IP sospechosas se marcan e identifican como amenazas críticas o graves en función de la inteligencia de amenazas de Detective.
-
Viaje imposible: detecta e identifica actividades inusuales e imposibles del usuario en una cuenta. Por ejemplo, este indicador muestra un cambio drástico entre la ubicación de origen y la de destino de un usuario en un breve periodo de tiempo.
-
Grupo de resultados relacionados: muestra varias actividades relacionadas con un posible evento de seguridad. Para abordar este problema, Detective utiliza técnicas de análisis gráfico que infiere relaciones entre resultados y entidades, y las agrupa como grupo de resultados.
-
Resultados relacionados: actividades relacionadas asociadas con un posible evento de seguridad. Muestra todas las categorías distintas de evidencia que están relacionadas con el recurso o el grupo de resultados.
-
Nuevas geolocalizaciones: identifica las nuevas geolocalizaciones utilizadas en el nivel de recurso o de cuenta. Por ejemplo, este indicador muestra una geolocalización observada que es poco frecuente o no utilizada en función de la actividad anterior del usuario.
-
Nuevos agentes de usuario: identifica los nuevos agentes de usuario que se utilizan en el nivel de recurso o de cuenta.
-
Nuevas ASO: identifica las nuevas organizaciones de sistemas autónomos (ASO) que se utilizan en el nivel de recurso o de cuenta. Por ejemplo, este indicador muestra una nueva organización asignada como ASO.
