¿Qué es Amazon Detective?

La búsqueda de grupos por parte de Detectives le permite examinar múltiples actividades en relación con un posible incidente de seguridad. Puede analizar la causa raíz de los GuardDuty hallazgos de alta gravedad mediante la búsqueda de grupos. Si un agente de amenazas intenta poner en peligro su AWS entorno, normalmente lleva a cabo una secuencia de acciones que generan varios hallazgos de seguridad y comportamientos inusuales.

La página de búsqueda de grupos de Detective muestra todos los grupos de búsqueda relacionados extraídos de su gráfico de comportamiento. Para obtener más información sobre cómo aprovechar la búsqueda de grupos para analizar la causa raíz de los hallazgos de seguridad, consulte Análisis de la búsqueda de grupos en Detective.

Detective proporciona una visualización interactiva de cada grupo de búsqueda para ayudarle a investigar los problemas de seguridad de forma más rápida y exhaustiva. La visualización está diseñada para mostrar las entidades y los hallazgos relacionados con un incidente de seguridad, lo que facilita la comprensión de las conexiones y las causas fundamentales. Le ayuda a investigar los problemas de forma más rápida y exhaustiva con menos esfuerzo. El panel de visualización del grupo de búsqueda muestra los hallazgos y las entidades que participan en un grupo de búsqueda.

Con Detective Investigation, puede investigar a los usuarios de IAM y las funciones de IAM mediante indicadores de compromiso, que pueden ayudarlo a determinar si un recurso está involucrado en un incidente de seguridad. Un indicador de riesgo (IOC) es un artefacto observado en una red, un sistema o un entorno que puede identificar (con alto nivel de confianza) una actividad malintencionada o un incidente de seguridad. Con las investigaciones de Detectives, puede maximizar la eficiencia, centrarse en las amenazas a la seguridad y reforzar las capacidades de respuesta a los incidentes.

Detective Investigation utiliza modelos de aprendizaje automático e inteligencia de amenazas para descubrir solo los problemas más críticos y sospechosos, lo que le permite centrarse en investigaciones de alto nivel. Analiza automáticamente los recursos de su AWS entorno para identificar posibles indicadores de peligro o actividad sospechosa. Esto le permite identificar patrones y comprender qué recursos se ven afectados por los eventos de seguridad, ofreciendo un enfoque proactivo para la identificación y mitigación de las amenazas.

Puedes utilizar Iniciar una investigación detectivesca desde la consola de Detectives con Ejecutar una investigación detectivesca. Para ejecutar una investigación mediante programación, utilice la StartInvestigationoperación de la API Detective. Para ejecutar una investigación con el comando AWS Command Line Interface (AWS CLI), ejecute el comando start-investigation.

Detective se integra con Amazon Security Lake, lo que significa que puede consultar y recuperar los datos de registro sin procesar almacenados por Security Lake. Con esta integración, puede recopilar registros y eventos de las siguientes fuentes que Security Lake admite de forma nativa.

Tras integrar Detective con Security Lake, Detective comienza a extraer registros sin procesar de Security Lake relacionados con los eventos de AWS CloudTrail administración y los registros de flujo de Amazon VPC. Puede consultar los registros sin procesar para ver los registros y los eventos en Detective.

Con Detective, puede examinar de forma interactiva los detalles de la actividad de los flujos de red de la nube privada virtual (VPC) de sus instancias de Amazon Elastic Compute Cloud ( EC2Amazon) y los pods de Kubernetes. Detective recopila automáticamente los registros de flujo de VPC de sus cuentas monitoreadas, los agrega por EC2 instancia y presenta resúmenes visuales y análisis sobre estos flujos de red.

EC2 Por ejemplo, los detalles de la actividad del volumen total del flujo de la VPC muestran las interacciones entre la EC2 instancia y las direcciones IP durante un intervalo de tiempo seleccionado.

En el caso de un pod de Kubernetes, Volumen total del flujo de la VPC muestra el volumen total de bytes que entran y salen de la dirección IP asignada al pod de Kubernetes para todas las direcciones IP de destino.

Consola de administración de AWS Se trata de una interfaz basada en un navegador que puede utilizar para crear y gestionar AWS recursos. Como parte de esa consola, la consola Amazon Detective proporciona acceso a tu cuenta, datos y recursos de Detective. Puede realizar cualquier tarea de Detective mediante la consola Detective: revise las posibles amenazas a la seguridad y analice, investigue e identifique la causa raíz de los hallazgos de seguridad.

Con las herramientas de línea de AWS comandos, puede emitir comandos en la línea de comandos de su sistema para realizar tareas y AWS tareas de Detective. Usar la línea de comandos puede ser más rápido y práctico que usar la consola. Las herramientas de línea de comandos también son útiles si desea crear scripts que realicen tareas.

AWS proporciona dos conjuntos de herramientas de línea de comandos: el AWS Command Line Interface (AWS CLI) y el Herramientas de AWS para PowerShell. Para obtener información sobre la instalación y el uso de AWS CLI, consulte la Guía del AWS Command Line Interface usuario. Para obtener información sobre la instalación y el uso de las herramientas PowerShell, consulte la Guía del Herramientas de AWS para PowerShell usuario.

AWS proporciona información SDKs que consta de bibliotecas y código de muestra para varios lenguajes de programación y plataformas, por ejemplo, Java, Go, Python, C++ y.NET. SDKs Proporcionan un acceso cómodo y programático a Detective y otros Servicios de AWS. También permiten realizar tareas como firmar solicitudes criptográficamente, administrar errores y reintentar solicitudes automáticamente. Para obtener información sobre la instalación y el uso de AWS SDKs, consulte Herramientas sobre AWS las que construir.

La API REST de Amazon Detective le proporciona un acceso completo y programático a su cuenta, datos y recursos de Detective. Con esta API, puede enviar solicitudes HTTPS directamente a Detective. Sin embargo, a diferencia de las herramientas de línea de AWS comandos SDKs, el uso de esta API requiere que su aplicación gestione detalles de bajo nivel, como la generación de un hash para firmar una solicitud. Para obtener información sobre esta API, consulte la Referencia de la API de Detective.

AWS Security Hub CSPM le ofrece una visión completa del estado de seguridad de sus AWS recursos y le ayuda a comprobar si su AWS entorno se ajusta a los estándares y las mejores prácticas del sector de la seguridad. Esto lo consigue, en parte, consumiendo, agrupando, organizando y priorizando los hallazgos de seguridad de varios productos Servicios de AWS (incluido Detective) y de AWS Partner Network (APN) compatibles. Security Hub le ayuda a analizar sus tendencias de seguridad e identificar los problemas de seguridad más prioritarios en todo su AWS entorno.

Para obtener más información sobre Security Hub, consulte la Guía del usuario de AWS Security Hub CSPM.

Amazon GuardDuty es un servicio de supervisión de seguridad que analiza y procesa determinados tipos de AWS registros, como los registros de eventos de AWS CloudTrail datos para Amazon S3 y los registros CloudTrail de eventos de administración. Utiliza fuentes de inteligencia sobre amenazas, como listas de direcciones IP y dominios maliciosos, y el aprendizaje automático para identificar actividades inesperadas y potencialmente no autorizadas y maliciosas en su AWS entorno.

Para obtener más información GuardDuty, consulta la Guía del GuardDuty usuario de Amazon.

Amazon Security Lake es un servicio de lago de datos de seguridad totalmente gestionado. Puede usar Security Lake para centralizar automáticamente los datos de seguridad de los AWS entornos, los proveedores de SaaS, las fuentes locales, las fuentes en la nube y las fuentes de terceros en un lago de datos diseñado específicamente que se almacena en su cuenta. AWS Security Lake le ayuda a analizar los datos de seguridad para que pueda comprender mejor su postura de seguridad en toda la organización. Con Security Lake, también puede mejorar la protección de sus cargas de trabajo, aplicaciones y datos.

Para obtener más información sobre Security Lake, consulte la Guía del usuario de Amazon Security Lake. Para obtener más información sobre el uso conjunto de Detective y Security Lake, consulteIntegración de Amazon Detective con Amazon Security Lake.