Apa itu Detektif Amazon?

Grup pencarian detektif memungkinkan Anda memeriksa beberapa aktivitas yang berhubungan dengan peristiwa keamanan potensial. Anda dapat menganalisis akar penyebab GuardDuty temuan tingkat keparahan tinggi menggunakan kelompok pencarian. Jika aktor ancaman mencoba membahayakan AWS lingkungan Anda, mereka biasanya melakukan serangkaian tindakan yang menghasilkan beberapa temuan keamanan dan perilaku yang tidak biasa.

Halaman grup pencarian di Detektif menampilkan semua grup temuan terkait yang diekstrak dari grafik perilaku Anda. Untuk informasi selengkapnya tentang cara memanfaatkan grup pencarian untuk menganalisis akar penyebab temuan keamanan, lihat Meng analisis grup temuan di Detektif.

Detektif menyediakan visualisasi interaktif dari setiap kelompok temuan untuk membantu Anda menyelidiki masalah keamanan lebih cepat dan lebih menyeluruh. Visualisasi dirancang untuk menampilkan entitas dan temuan yang terlibat dalam insiden keamanan, sehingga lebih mudah untuk memahami koneksi dan akar penyebab. membantu Anda menyelidiki masalah lebih cepat dan lebih menyeluruh dengan sedikit usaha. Panel Visualisasi grup Finding menampilkan temuan dan entitas yang terlibat dalam kelompok temuan.

Dengan Detective In vestigation, Anda dapat menyelidiki pengguna IAM dan peran IAM menggunakan indikator kompromi, yang dapat membantu Anda menentukan apakah sumber daya terlibat dalam insiden keamanan. Indikator penyusupan (IOC) adalah artefak yang diamati di dalam atau pada jaringan, sistem, atau lingkungan yang dapat (dengan tingkat kepercayaan tinggi) mengidentifikasi aktivitas berbahaya atau insiden keamanan. Dengan investigasi Detektif, Anda dapat memaksimalkan efisiensi, fokus pada ancaman keamanan, dan memperkuat kemampuan respons insiden.

Detective Investigation menggunakan model pembelajaran mesin dan intelijen ancaman hanya untuk memunculkan masalah yang paling kritis dan mencurigakan, memungkinkan Anda untuk fokus pada penyelidikan tingkat tinggi. Ini secara otomatis menganalisis sumber daya di AWS lingkungan Anda untuk mengidentifikasi indikator potensial kompromi atau aktivitas yang mencurigakan. Ini memungkinkan Anda mengidentifikasi pola dan memahami sumber daya mana yang terkena dampak peristiwa keamanan, menawarkan pendekatan proaktif untuk identifikasi dan mitigasi ancaman.

Anda dapat menggunakan memulai Investigasi Detektif dari konsol Detektif dengan Men jalankan Investigasi Detektif. Untuk menjalankan investigasi secara terprogram, gunakan StartInvestigation operasi Detective API. Untuk menjalankan investigasi menggunakan AWS Command Line Interface (AWS CLI) jalankan perintah start-investigasi.

Detective terintegrasi dengan Amazon Security Lake, yang berarti Anda dapat menanyakan dan mengambil data log mentah yang disimpan oleh Security Lake. Dengan integrasi ini, Anda dapat mengumpulkan log dan peristiwa dari sumber-sumber berikut yang didukung oleh Security Lake secara asli.

Setelah Anda mengintegrasikan Detective dengan Security Lake, Detective mulai menarik log mentah dari Security Lake terkait dengan peristiwa AWS CloudTrail manajemen dan Amazon VPC Flow Log. Anda dapat menanyakan log mentah untuk melihat log dan peristiwa di Detective.

Dengan Detective, Anda dapat secara interaktif memeriksa detail aktivitas aliran jaringan cloud pribadi virtual (VPC) dari instans Amazon Elastic Compute Cloud (Amazon EC2) dan pod Kubernetes Anda. Detective secara otomatis mengumpulkan log aliran VPC dari akun yang dipantau, mengumpulkannya berdasarkan instans EC2, dan menyajikan ringkasan visual dan analitik tentang alur jaringan ini.

Untuk instans EC2, detail aktivitas untuk keseluruhan volume aliran VPC menunjukkan interaksi antara instans EC2 dan alamat IP selama rentang waktu yang dipilih.

Untuk pod Kubernetes, Volume aliran VPC Keseluruhan menampilkan volume keseluruhan byte masuk dan keluar dari alamat IP yang ditetapkan pod Kubernetes untuk semua alamat IP tujuan.

Ini Konsol Manajemen AWS adalah antarmuka berbasis browser yang dapat Anda gunakan untuk membuat dan mengelola AWS sumber daya. Sebagai bagian dari konsol itu, konsol Amazon Detective menyediakan akses ke akun, data, dan sumber daya Detektif Anda. Anda dapat melakukan tugas Detektif apa pun dengan menggunakan konsol Detektif—meninjau potensi ancaman keamanan dan menganalisis, menyelidiki, dan mengidentifikasi akar penyebab temuan keamanan.

Dengan alat baris AWS perintah, Anda dapat mengeluarkan perintah di baris perintah sistem Anda untuk melakukan tugas dan AWS tugas Detektif. Menggunakan baris perintah dapat lebih cepat dan lebih nyaman dibandingkan konsol. Alat baris perintah juga berguna jika Anda ingin membangun skrip yang melakukan tugas.

AWS menyediakan dua set alat baris perintah: AWS Command Line Interface (AWS CLI) dan Alat AWS untuk PowerShell. Untuk informasi tentang menginstal dan menggunakan AWS CLI, lihat Panduan AWS Command Line Interface Pengguna. Untuk informasi tentang menginstal dan menggunakan Alat untuk PowerShell, lihat Panduan Alat AWS untuk PowerShell Pengguna.

AWS menyediakan SDK yang terdiri dari pustaka dan kode sampel untuk berbagai bahasa pemrograman dan platform — misalnya, Java, Go, Python, C++, dan .NET. SDK menyediakan akses terprogram yang nyaman ke Detective dan lainnya. Layanan AWS SDK menangani tugas seperti menandatangani permintaan secara kriptografis, mengelola kesalahan, dan mencoba kembali permintaan secara otomatis. Untuk informasi tentang menginstal dan menggunakan AWS SDK, lihat Alat untuk Membangun. AWS

Amazon Detective REST API memberi Anda akses terprogram yang komprehensif ke akun, data, dan sumber daya Detektif Anda. Dengan API ini, Anda dapat mengirim permintaan HTTPS langsung ke Detective. Namun, tidak seperti alat baris AWS perintah dan SDK, penggunaan API ini mengharuskan aplikasi Anda untuk menangani detail tingkat rendah seperti menghasilkan hash untuk menandatangani permintaan. Untuk informasi tentang API ini, lihat Referensi Detective API.

AWS Security Hub CSPM memberi Anda pandangan komprehensif tentang keadaan keamanan AWS sumber daya Anda dan membantu Anda memeriksa AWS lingkungan Anda terhadap standar industri keamanan dan praktik terbaik. Ini dilakukan sebagian dengan mengonsumsi, menggabungkan, mengatur, dan memprioritaskan temuan keamanan Anda dari beberapa produk Layanan AWS (termasuk Detektif) dan Jaringan Mitra (APN) yang didukung AWS . Security Hub CSPM membantu Anda menganalisis tren keamanan dan mengidentifikasi masalah keamanan prioritas tertinggi di seluruh lingkungan Anda AWS .

Untuk mempelajari selengkapnya tentang Security Hub CSPM, lihat Panduan AWS Security Hub CSPM Pengguna.

Amazon GuardDuty adalah layanan pemantauan keamanan yang menganalisis dan memproses jenis AWS log tertentu, seperti log peristiwa AWS CloudTrail data untuk Amazon S3 dan log peristiwa CloudTrail manajemen. Ini menggunakan umpan intelijen ancaman, seperti daftar alamat IP dan domain berbahaya, dan pembelajaran mesin untuk mengidentifikasi aktivitas tak terduga dan berpotensi tidak sah dan berbahaya di AWS lingkungan Anda.

Untuk mempelajari selengkap GuardDuty nya, lihat Panduan GuardDuty Pengguna Amazon.

Amazon Security Lake adalah layanan danau data keamanan yang dikelola sepenuhnya. Anda dapat menggunakan Security Lake untuk secara otomatis memusatkan data keamanan dari AWS lingkungan, penyedia SaaS, sumber lokal, sumber cloud, dan sumber pihak ketiga ke dalam danau data yang dibuat khusus yang disimpan di akun Anda. AWS Security Lake membantu Anda menganalisis data keamanan, sehingga Anda bisa mendapatkan pemahaman yang lebih lengkap tentang postur keamanan Anda di seluruh organisasi Anda. Dengan Security Lake, Anda juga dapat meningkatkan perlindungan beban kerja, aplikasi, dan data Anda.

Untuk mempelajari lebih lanjut tentang Security Lake, lihat Panduan Pengguna Amazon Security Lake. Untuk mempelajari lebih lanjut tentang menggunakan Detective dan Security Lake bersama-sama, lihatIntegrasi Detektif Amazon dengan Amazon Security Lake.