View a markdown version of this page

Executando uma investigação de detetive - Amazon Detective

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Executando uma investigação de detetive

Use Executar investigação para analisar recursos, como usuários e perfis do IAM, e para gerar um relatório de investigação. O relatório gerado detalha o comportamento anômalo que indica um possível comprometimento.

Console

Siga estas etapas para executar uma investigação de detetive na página Investigações usando o console Amazon Detective.

  1. Faça login no AWS Management Console. Em seguida, abra o console do Detetive em https://console.aws.amazon.com/detective/.

  2. No painel de navegação, selecione Investigações.

  3. Na página Investigações, escolha Executar investigação no canto superior direito.

  4. Na seção Selecionar recurso, você tem três maneiras de conduzir uma investigação. Você pode optar por conduzir a investigação com um recurso recomendado pelo Detetive. Você pode realizar a investigação para um recurso específico. Você também pode investigar um recurso na página Pesquisar do Detective.

    1. Choose a recommended resource— O detetive recomenda recursos com base em sua atividade em descobertas e grupos de busca. Para realizar a investigação de um recurso recomendado pelo Detetive, na tabela Recursos recomendados, selecione um recurso para investigar.

      A tabela de Recursos recomendados fornece os seguintes detalhes:

      • ARN do recurso — O nome de recurso da Amazon (ARN) do AWS recurso.

      • Motivo de investigação: exibe os principais motivos para investigar o recurso. Os motivos pelos quais o Detective recomenda investigar um recurso são os seguintes:

        • Se um recurso esteve envolvido em uma descoberta de alta gravidade nas últimas 24 horas.

        • Se um recurso esteve envolvido em um grupo de descobertas observado nos últimos sete dias. Os grupos de descobertas do Detective permitem que você examine várias atividades relacionadas a um possível evento de segurança. Consulte mais detalhes em Analisar grupos de descobertas.

        • Se um recurso esteve envolvido em uma descoberta nos últimos sete dias.

      • Última descoberta: as descobertas mais recentes são priorizadas no topo da lista.

      • Tipo de recurso: identifica o tipo de recurso. Por exemplo, um AWS usuário ou uma AWS função.

    2. Specify an AWS role or user with an ARN— Você pode selecionar uma AWS função ou AWS usuário e realizar uma investigação para o recurso específico.

      Siga estas etapas para investigar um tipo específico de recurso.

      1. Na lista suspensa Selecionar tipo de recurso, escolha AWS função ou AWS usuário.

      2. Insira o ARN do recurso do IAM. Para obter mais detalhes sobre ARNs de recursos, consulte Amazon Resource Names (ARNs) no Guia do usuário do IAM.

    3. Find a resource to investigate from the Search page— Você pode pesquisar todos os seus recursos do IAM na página Detective Search.

      Siga estas etapas para investigar um recurso na página Pesquisar.

      1. No painel de navegação, selecione Pesquisar.

      2. Na página de pesquisa, pesquise um recurso do IAM.

      3. Navegue até a página de perfil do recurso e execute a investigação a partir daí.

  5. Na seção Tempo do escopo da investigação, escolha o tempo do escopo da investigação para avaliar a atividade do recurso selecionado. Você pode selecionar uma data de início e hora de início e uma data de término e hora de término no formato UTC. A janela do tempo de escopo vai de no mínimo de 3 horas e no máximo de 30 dias.

  6. Selecione Executar investigação.

API

Para executar uma investigação de forma programática, use a StartInvestigation operação da API Detective. Para executar uma investigação usando o AWS Command Line Interface (AWS CLI), execute o comando start-investigation.

Em sua solicitação, use os seguintes parâmetros para executar uma investigação no Detective:

  • GraphArn: especifica o nome do recurso da Amazon (ARN) do gráfico de comportamento.

  • EntityArn: especifica o nome do recurso da Amazon (ARN) exclusivo do usuário do IAM e do perfil do IAM.

  • ScopeStartTime: opcionalmente, especifique os dados e a hora em que a investigação deve começar. O valor é uma string formatada em UTC ISO8601. Por exemplo, 2021-08-18T16:35:56.284Z.

  • ScopeEndTime: opcionalmente, especifique os dados e a hora em que a investigação deve terminar. O valor é uma string formatada em UTC ISO8601. Por exemplo, 2021-08-18T16:35:56.284Z.

Este exemplo está formatado para Linux, macOS ou Unix e usa o caractere de continuação de linha “barra invertida (\)” para melhorar a legibilidade.

aws detective start-investigation \
--graph-arn arn:aws:detective:us-east-1:123456789123:graph:fdac8011456e4e6182facb26dfceade0
 --entity-arn arn:aws:iam::123456789123:role/rolename --scope-start-time 2023-09-27T20:00:00.00Z 
--scope-end-time 2023-09-28T22:00:00.00Z

Você também pode realizar uma investigação nas seguintes páginas no Detective:

  • Página de perfil de um usuário do IAM ou de um perfil do IAM no Detective.

  • Painel de visualização gráfica de um grupo de descobertas.

  • Coluna de ações de um recurso envolvido.

  • Usuário do IAM ou perfil do IAM em uma página de descobertas.

Depois que o Detective executa a investigação de um recurso, um relatório de investigação é gerado. Para acessar o relatório, acesse Investigações no painel de navegação.