c3.21 Investigar incidentes de segurança
Quando uma descoberta dispara, você precisa chegar rápido à causa raiz: separar um falso positivo de um incidente real, entender o raio de impacto e decidir o que conter. Construa essa capacidade de investigação com ferramentas correlacionadas, idealmente assistidas por IA; a AWS oferece várias opções complementares.
Guia de implementação
A capacidade, não uma única ferramenta
O objetivo deste controle é a capacidade de investigar uma descoberta de segurança até a sua causa raiz: correlacionar sinais entre serviços, distinguir o comportamento normal do anômalo, entender o raio de impacto e descartar falsos positivos, com rapidez para que o dwell time permaneça baixo. Vários serviços da AWS entregam isso, e são complementares em vez de excludentes:
- Amazon Detective: correlaciona automaticamente o AWS CloudTrail, os VPC Flow Logs e as descobertas do GuardDuty em um grafo de comportamento vinculado com geolocalização e uma linha de base de atividade normal, para que os analistas rastreiem um incidente sem construir o pipeline por conta própria.
- Amazon GuardDuty investigation agent: avaliação de ameaças assistida por IA, sob demanda que investiga uma descoberta e resume o que aconteceu.
- AWS Security Incident Response: combina triagem automatizada com um agente de investigação assistido por IA e acesso 24/7 ao AWS Customer Incident Response Team (CIRT) para eventos ativos.
- AWS Security Hub: correlaciona e prioriza descobertas entre serviços em exposures, e pode alimentar fluxos de investigação assistidos por IA.
Muitas equipes também investigam a partir de um SIEM / SOAR de terceiros. O que importa para o alinhamento é que a capacidade exista e seja rápida, não qual produto a fornece.
O que uma boa investigação responde
- Esta atividade é anômala em relação ao padrão normal do recurso, e vinda de locais esperados?
- Qual é o raio de impacto e qual é a verdadeira causa raiz versus um falso positivo?
- O que precisa ser contido agora e quais evidências precisam ser preservadas?
Assista
Como validar
- Você tem uma capacidade de investigar uma descoberta até a causa raiz correlacionando sinais entre serviços (CloudTrail, VPC Flow Logs, GuardDuty e mais)?
- Os analistas conseguem distinguir o comportamento normal do anômalo e determinar o raio de impacto?
- As descobertas do GuardDuty / Security Hub são encaminhadas para investigação rapidamente, e os respondedores sabem como acionar o AWS Security Incident Response / CIRT diante de um evento ativo?
- As saídas da investigação são preservadas como evidência e alimentadas ao seu processo de resposta?
Ameaças atendidas
- Sem uma capacidade de investigação rápida e correlacionada, os analistas juntam logs à mão, os falsos positivos consomem esforço e a verdadeira causa raiz é encontrada tarde, estendendo o dwell time e o impacto.
Serviços AWS
Amazon Detective 
AWS Security Hub 
AWS Security Incident Response Preços
Variam por ferramenta. Por exemplo, o Amazon Detective oferece um teste gratuito de 30 dias e inclui dados históricos recentes desde a ativação.