Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Analisi dei gruppi di risultati
I gruppi di risultati di Amazon Detective ti consentono di esaminare più attività in relazione a un potenziale evento di sicurezza. Un gruppo di ricerca in Amazon Detective viene creato quando Detective rileva uno schema o una relazione tra più risultati che suggeriscono che siano correlati allo stesso potenziale incidente di sicurezza. Questo raggruppamento aiuta a gestire e analizzare i risultati correlati in modo più efficiente.
È possibile analizzare la causa principale dei GuardDuty risultati di elevata gravità utilizzando i gruppi di ricerca. Se un autore della minaccia sta tentando di compromettere AWS l'ambiente, in genere esegue una sequenza di azioni che porta a molteplici rilevazioni di sicurezza e a comportamenti insoliti. Queste operazioni sono spesso distribuite nel tempo e nelle entità. L'indagine isolata dei risultati relativi alla sicurezza può portare a un'interpretazione errata del loro significato e alla difficoltà di individuarne la causa principale. Amazon Detective risolve questo problema applicando una tecnica di analisi dei grafici che deduce le relazioni tra risultati ed entità e li raggruppa in un gruppo di risultati. Consigliamo di trattare i gruppi di risultati come punto di partenza per indagare sulle entità e sui risultati coinvolti.
Detective analizza i dati dei risultati e li raggruppa con altri risultati che potrebbero essere correlati in base alle risorse che condividono. Ad esempio, è molto probabile che i risultati relativi a operazioni intraprese dalle stesse sessioni di ruolo IAM o provenienti dallo stesso indirizzo IP facciano parte della stessa attività sottostante. È utile indagare sui risultati e sulle prove in gruppo, anche se le associazioni fatte da Detective non sono correlate.
I gruppi di ricerca vengono creati in base ai seguenti criteri.
-
Prossimità temporale: i risultati che si verificano in un lasso di tempo ravvicinato sono spesso raggruppati, poiché sono probabilmente correlati allo stesso incidente.
-
Entità comuni: i risultati che coinvolgono le stesse entità, come indirizzi IP, utenti o risorse, vengono raggruppati. Questo aiuta a comprendere la portata dell'incidente nelle diverse parti dell'ambiente.
-
Schemi e comportamenti: Detective analizza i modelli e i comportamenti presenti nei risultati, ad esempio tipi simili di attacchi o attività sospette, per determinare le relazioni e raggrupparle di conseguenza.
-
Tattiche, tecniche e procedure (TTP): i risultati che condividono TTP simili, descritti in framework come MITRE ATT&CK, sono raggruppati per evidenziare potenziali attacchi coordinati.
Questi criteri aiutano a semplificare il processo di indagine in modo da poterti concentrare su risultati correlati che probabilmente rappresentano lo stesso incidente di sicurezza.
Oltre ai risultati, ogni gruppo include le entità coinvolte nei risultati. Le entità possono includere risorse esterne, AWS ad esempio indirizzi IP o programmi utente.
Nota
Dopo un primo GuardDuty rilevamento correlato a un altro risultato, il gruppo di ricerca con tutti i risultati correlati e tutte le entità coinvolte viene creato entro 48 ore.
