Amazon Detective Funktionen

Amazon Detective erfasst und verarbeitet automatisch relevante Daten von allen aktivierten Konten. Sie müssen keine Datenquellen konfigurieren oder aktivieren. Amazon Detective sammelt und analysiert Ereignisse aus Datenquellen wie AWS-CloudTrail-Protokollen, Amazon-VPC-Flussprotokollen, Amazon-EKS-Prüfungsprotokollen, Amazon-GuardDuty-Erkenntnissen, Amazon-Security-Hub-Erkenntnissen, anderen integrierten AWS-Sicherheitsservices, und hält aggregierte Daten von bis zu einem Jahr für die Analyse bereit.

Amazon Detective kann Billionen von Ereignissen aus vielen verschiedenen Datenquellen über den IP-Verkehr, AWS-Verwaltungsvorgänge und böswillige oder nicht autorisierte Aktivitäten analysieren, um ein Diagrammmodell zu erstellen, das Protokolldaten mithilfe von maschinellem Lernen, statistischer Analyse und Diagrammtheorie aufbaut, um eine verknüpfte Datengruppe für Sicherheitsuntersuchungen zu erstellen. Das Diagramm-Modell ist mit sicherheitsrelevanten Beziehungen vorkonfiguriert und fasst Kontext- und Verhaltenserkenntnisse zusammen, mit denen Sie die Daten schnell validieren, vergleichen und korrelieren können, um zu Schlussfolgerungen zu gelangen. Die Visualisierungen von Amazon Detective basieren auf dem Diagrammmodell, mit dem Sie Ihre Ermittlungsfragen schnell ohne die Komplexität des Abfragens von Rohprotokollen beantworten können. Das Diagramm bietet beispielsweise Kontext und Beziehungen, wenn eine IP-Adresse mit einer EC2-Instance verbunden ist und die API-Aufrufe, die eine Rolle in einem bestimmten Zeitraum ausgegeben hat.

Amazon Detective bietet interaktive Visualisierungen, mit denen Probleme mit weniger Aufwand schneller und gründlicher untersucht werden können. Mit einer einheitlichen Ansicht, mit der Sie den gesamten Kontext und alle Details an einem Ort visualisieren können, ist es einfacher, Muster zu identifizieren, die ein Sicherheitsproblem validieren oder widerlegen können, und alle Ressourcen zu erfassen, die von einem Sicherheitserkenntnis betroffen sind. Mithilfe dieser Visualisierungen können Sie auf einfache Weise große Mengen von Ereignisdaten in bestimmten Zeitleisten mit allen Details, dem Kontext und Empfehlungen filtern, um eine schnelle Untersuchung zu ermöglichen. Mit Amazon Detective können Sie Anmeldeversuche auf einer Geolocation-Karte anzeigen, relevante historische Aktivitäten analysieren, schnell eine Ursache ermitteln und erforderlichenfalls Maßnahmen zur Behebung des Problems ergreifen.

Die grafische Darstellung zeigt Ihnen verwandte AWS-Security-Erkenntnisse und die betroffenen Ressourcen eines einzelnen Sicherheitsereignisses, wie EC2-Instances, IAM-Rollen und -Benutzer, S3-Buckets und IP-Adressen. Das hilft Ihnen bei der Untersuchung ungewöhnlicher oder verdächtiger Aktivitäten.

Das Gesamtvolumen der API-Aufrufe zeigt Ihnen erfolgreiche und fehlgeschlagene Aufrufe in einem bestimmten Zeitraum und vergleicht es mit der festgelegten Baseline. Auf diese Weise können Sie Muster abnormaler Aktivitäten identifizieren und einen Sicherheitsbefund validieren.

Amazon Detective ist in AWS-Sicherheitsservices wie Amazon GuardDuty, AWS Security Hub, Amazon Inspector sowie in Sicherheitsprodukte von AWS-Partnern integriert, um die in diesen Services ermittelten Sicherheits-Erkenntnisse schnell zu untersuchen. Mit einem einzigen Klick von diesen integrierten Services aus können Sie Amazon Detective aufrufen und sofort Ereignisse im Zusammenhang mit Erkenntnissen anzeigen, relevante historische Aktivitäten analysieren und das Problem untersuchen. Ausgehend von einem Amazon.GuardDuty-Erkenntnis können Sie Amazon Detective starten, indem Sie auf „In Detective untersuchen“ klicken, um sofort einen Einblick in die für die betreffende Ressource relevante Aktivität zu erhalten. Auf diese Weise erhalten Sie die Details und den Kontext, um schnell zu entscheiden, ob das ermittelte Erkenntnis die tatsächliche verdächtige Aktivität widerspiegelt.

Sie können Amazon Detective mit ein paar Mausklicks in der AWS Managementkonsole aktivieren. Es muss keine Software bereitgestellt, Agenten installiert oder komplexe Konfigurationen verwaltet werden. Darüber hinaus müssen keine Datenquellen aktiviert werden, sodass die Kosten für die Aktivierung, Übertragung und Speicherung von Datenquellen entfallen.