Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Direkt zu einem Entitätsprofil navigieren oder eine Übersicht finden
Um direkt zu einem Entitätsprofil zu gelangen oder eine Übersicht in Amazon Detective zu finden, können Sie eine dieser Optionen verwenden.
-
Von Amazon GuardDuty oder AWS Security Hub aus können Sie von einem GuardDuty Ergebnis zum entsprechenden Findungsprofil von Detective wechseln.
-
Sie können eine Detective-URL zusammenstellen, die eine Erkenntnis oder Entität identifiziert und die zu verwendende Gültigkeitsdauer festlegt.
Zu einem Entitätsprofil wechseln oder eine Übersicht von Amazon GuardDuty suchen oder AWS Security Hub
Von der GuardDuty Amazon-Konsole aus können Sie zum Entitätsprofil für eine Entität navigieren, die sich auf einen Befund bezieht.
Von den AWS Security Hub Konsolen GuardDuty und aus können Sie auch zu einer Ergebnisübersicht navigieren. Dort finden Sie auch Links zu den Entitätsprofilen der beteiligten Entitäten.
Diese Links können dazu beitragen, den Untersuchungsprozess zu rationalisieren. Sie können Detective schnell verwenden, um die zugehörige Entitätsaktivität zu sehen und die nächsten Schritte festzulegen. Sie können dann eine Erkenntnis archivieren, falls es sich um eine falsch positive Erkenntnis handelt, oder Sie können das Ausmaß des Problems weiter untersuchen.
So wechseln Sie zur Amazon-Detective-Konsole
Die Links zur Untersuchung sind für alle GuardDuty Ergebnisse verfügbar. GuardDuty ermöglicht es Ihnen auch zu wählen, ob Sie zu einem Entitätsprofil oder zur Ergebnisübersicht navigieren möchten.
Um von der GuardDuty Konsole zu Detective zu wechseln
Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/
. Wählen Sie im linken Navigationsbereich ggf. Erkenntnisse aus.
-
Wählen Sie auf der Seite GuardDuty Ergebnisse das Ergebnis aus.
Der Bereich mit den Erkenntnisdetails wird rechts neben der Erkenntnisliste angezeigt.
Wählen Sie im Bereich mit den Erkenntnisdetails die Option In Detective untersuchen.
GuardDuty zeigt eine Liste der verfügbaren Elemente an, die in Detective untersucht werden können.
Die Liste enthält sowohl die zugehörigen Entitäten, wie IP-Adressen oder EC2-Instances, als auch die Erkenntnis.
-
Wählen Sie eine Entität oder Erkenntnis aus.
Die Detective-Konsole wird in einer neuen Registerkarte geöffnet. In der Konsole wird die Entität oder das Erkenntnisprofil geöffnet.
Wenn Sie Detective nicht aktiviert haben, wird auf der Konsole eine Landingpage geöffnet, die einen Überblick über Detective bietet. Von dort aus können Sie wählen, ob Sie Detective aktivieren möchten.
So wechseln Sie von der Security Hub-Konsole zu Detective
Öffnen Sie die AWS Security Hub Konsole unter https://console.aws.amazon.com/securityhub/
. Wählen Sie im linken Navigationsbereich ggf. Erkenntnisse aus.
-
Wählen Sie auf der Seite Security Hub Hub-Ergebnisse ein GuardDuty Ergebnis aus.
Wählen Sie im Detailbereich Untersuchung in Detective und dann Untersuchungserkenntnis aus.
Wenn Sie Erkenntnis untersuchen wählen, wird die Detective-Konsole auf einer neuen Registerkarte geöffnet. In der Konsole wird die Übersicht der Erkenntnisse geöffnet.
In der Detective-Konsole wird immer die Region geöffnet, aus der die Erkenntnis stammt, auch wenn Sie aus Ihrer Aggregationsregion wechseln. Weitere Informationen zur Suche nach Aggregation finden Sie im Benutzerhandbuch unter Aggregieren von Erkenntnissen in verschiedenen Regionen.AWS Security Hub
Wenn Sie Detective nicht aktiviert haben, öffnet sich die Konsole mit der Detective-Landingpage. Von dort aus können Sie Detective aktivieren.
Fehlerbehebung für den Pivot
Um den Pivot zu verwenden, muss eine der folgenden Bedingungen erfüllt sein:
-
Ihr Konto muss sowohl für Detective als auch für den Dienst, von dem Sie wechseln, ein Administratorkonto sein.
-
Sie haben eine kontoübergreifende Rolle übernommen, die Ihrem Administratorkonto Zugriff auf das Verhaltensdiagramm gewährt.
Weitere Informationen zur Empfehlung, Administratorkonten aufeinander abzustimmen, finden Sie unter Empfohlene Abstimmung mit Amazon GuardDuty und AWS Security Hub.
Wenn der Pivot nicht funktioniert, überprüfen Sie Folgendes.
-
Gehört die Erkenntnis zu einem aktivierten Mitgliedskonto in Ihrem Verhaltensdiagramm? Wenn das zugehörige Konto nicht als Mitgliedskonto in das Verhaltensdiagramm eingeladen wurde, enthält das Verhaltensdiagramm keine Daten für dieses Konto.
Wenn ein Konto eines eingeladenen Mitglieds die Einladung nicht angenommen hat, enthält das Verhaltensdiagramm keine Daten für dieses Konto.
-
Ist die Erkenntnis archiviert? Detective erhält keine archivierten Ergebnisse von GuardDuty.
-
Ist die Erkenntnis eingetreten, bevor Detective begann, Daten in Ihr Verhaltensdiagramm aufzunehmen? Wenn die Erkenntnis nicht in den Daten enthalten ist, die Detective aufnimmt, enthält das Verhaltensdiagramm keine Daten dafür.
-
Stammt die Erkenntnis aus der richtigen Region? Jedes Verhaltensdiagramm ist spezifisch für eine Region. Ein Verhaltensdiagramm enthält keine Daten aus anderen Regionen.
Navigation zu einem Entitätsprofil oder Übersichtssuche mithilfe einer URL
Um zu einem Entitätsprofil oder einer Suchübersicht in Amazon Detective zu navigieren, können Sie eine URL verwenden, die einen direkten Link dazu enthält. Die URL identifiziert den Befund oder die Entität. Sie kann auch den Zeitbereich angeben, der für das Profil verwendet werden soll. Detective verwaltet historische Ereignisdaten für bis zu einem Jahr.
Format einer Profil-URL
Anmerkung
Wenn Sie das alte URL-Format verwenden, leitet Detective automatisch zur neuen URL weiter. Das alte Format der URL war:
https://console.aws.amazon.com/detective/home?region=Region
#type
/namespace
/instanceID
?parameters
Das neue Format der Profil-URL lautet wie folgt:
-
Für Entitäten – https://console.aws.amazon.com/detective/home?region=
Region
#entities
/namespace
/instanceID
?parameters
-
Für Erkenntnisse – https://console.aws.amazon.com/detective/home?region=
Region
#findings
/instanceID
?parameters
Die URL erfordert die folgenden Werte.
Region
-
Die Region, die Sie verwenden möchten.
Typ
-
Der Elementtyp für das Profil, zu dem Sie navigieren.
-
entities
– Zeigt an, dass Sie zu einem Entitätsprofil navigieren -
findings
– Zeigt an, dass Sie zu einer Erkenntnisübersicht navigieren
-
Namespace
-
Bei Entitäten ist der Namespace der Name des Entitätstyps.
-
AwsAccount
-
AwsRole
-
AwsRoleSession
-
AwsUser
-
Ec2Instance
-
FederatedUser
-
IpAddress
-
S3Bucket
-
UserAgent
-
FindingGroup
-
KubernetesSubject
-
ContainerPod
-
ContainerCluster
-
ContainerImage
-
instanceID
-
Die Instanz-ID des Befundes oder der Entität.
-
Bei einem GuardDuty Befund die Kennung des GuardDuty Befundes.
-
Für ein AWS Konto die Konto-ID.
-
Für AWS Rollen und Benutzer die Prinzipal-ID der Rolle oder des Benutzers.
-
Für Verbundbenutzer die Prinzipal-ID des Verbundbenutzers. Die Prinzipal-ID ist entweder
oder<identityProvider>
:<username>
.<identityProvider>
:<audience>
:<username>
-
Bei IP-Adressen die IP-Adresse.
-
Für Benutzeragenten der Name des Benutzeragenten.
-
Für EC2-Instances die Instance-ID.
-
Für Rollensitzungen die Sitzungs-ID. Die Sitzungs-ID verwendet das Format
<rolePrincipalID>
:<sessionName>
-
Für S3-Buckets der Bucket-Name.
-
Für FindingGroups eine UUID. Zum Beispiel
ca6104bc-a315-4b15-bf88-1c1e60998f83
-
Verwenden Sie für EKS-Ressourcen die folgenden Formate:
-
EKS-Cluster:
<clusterName>~<accountId>~EKS
-
<clusterName><accountId>Kubernetes-Pod:
~ ~ ~EKS
<podUid> -
Kubernetes Betreff: <subjectName>~<clusterName>~<accountId>
-
Container-Image:
<registry>/<repository>:<tag>@<digest>
-
Die Erkenntnis oder die Entität muss mit einem aktivierten Konto in Ihrem Verhaltensdiagramm verknüpft sein.
-
Die URL kann auch die folgenden optionalen Parameter enthalten, mit denen die Gültigkeitsdauer festgelegt wird. Weitere Informationen zur Gültigkeitsdauer und zu ihrer Verwendung in Profilen finden Sie unter Verwaltung des Zeitbereichs.
scopeStart
-
Startzeit des Zeitbereichs des Profils. Die Startzeit muss innerhalb der letzten 365 Tage liegen.
Der Wert ist der Zeitstempel der Epoche.
Wenn Sie eine Startzeit, aber keine Endzeit angeben, endet die Gültigkeitsdauer zum aktuellen Zeitpunkt.
scopeEnd
-
Endzeit des Zeitbereichs des Profils.
Der Wert ist der Zeitstempel der Epoche.
Wenn Sie eine Endzeit, aber keine Startzeit angeben, umfasst der Zeitbereich die gesamte Zeit vor der Endzeit.
Wenn Sie den Zeitbereich nicht angeben, wird der Standardzeitbereich verwendet.
-
Für Erkenntnisse verwendet der Standard-Zeitbereich den Zeitpunkt, zu dem die Erkenntnisaktivität zum ersten und zum letzten Mal beobachtet wurde.
-
Für Entitäten entspricht der Standard-Zeitbereich den letzten 24 Stunden.
Hier finden Sie ein Beispiel für eine Detective-URL:
https://console.aws.amazon.com/detective/home?region=us-east-1#entities/IpAddress/192.168.1.1?scopeStart=1552867200&scopeEnd=1552910400
Diese Beispiel-URL enthält die folgenden Anweisungen.
-
Zeigen Sie das Entitätsprofil für die IP-Adresse 192.168.1 an.
-
Verwenden Sie eine Gültigkeitsdauer, die am Montag, den 18. März 2019, 12:00:00 Uhr GMT beginnt und am Montag, den 18. März 2019, 12:00:00 Uhr GMT endet.
Fehlerbehebung bei einer URL
Wenn die URL nicht das erwartete Profil anzeigt, überprüfen Sie zunächst, ob die URL das richtige Format verwendet und ob Sie die richtigen Werte angegeben haben.
-
Haben Sie mit der richtigen URL (
findings
oderentities
) angefangen? -
Haben Sie den richtigen Namespace angegeben?
-
Haben Sie den richtigen Bezeichner angegeben?
Wenn die Werte korrekt sind, können Sie auch Folgendes überprüfen.
-
Gehört die Erkenntnis oder die Entität zu einem aktivierten Mitgliedskonto in Ihrem Verhaltensdiagramm? Wenn das zugehörige Konto nicht als Mitgliedskonto in das Verhaltensdiagramm eingeladen wurde, enthält das Verhaltensdiagramm keine Daten für dieses Konto.
Wenn ein Konto eines eingeladenen Mitglieds die Einladung nicht angenommen hat, enthält das Verhaltensdiagramm keine Daten für dieses Konto.
-
Ist eine Erkenntnis archiviert? Detective erhält keine archivierten Ergebnisse von Amazon GuardDuty.
-
Ist die Erkenntnis oder Entität eingetreten, bevor Detective begann, Daten in Ihr Verhaltensdiagramm aufzunehmen? Wenn die Erkenntnis oder die Entität nicht in den Daten enthalten ist, die Detective aufnimmt, enthält das Verhaltensdiagramm keine Daten dafür.
-
Stammt die Erkenntnis oder Entität aus der richtigen Region? Jedes Verhaltensdiagramm ist spezifisch für eine Region. Ein Verhaltensdiagramm enthält keine Daten aus anderen Regionen.
Hinzufügen von Detective-URLs für Erkenntnisse zu Splunk
Das Splunk Trumpet-Projekt ermöglicht es Ihnen, Daten von Diensten an Splunk zu senden. AWS
Sie können das Trumpet-Projekt so konfigurieren, dass Detektiv-URLs für GuardDuty Amazon-Ergebnisse generiert werden. Sie können diese URLs dann verwenden, um direkt von Splunk zu den entsprechenden Erkenntnisprofilen von Detective zu wechseln.
Wählen Sie auf der Konfigurationsseite für das Trumpet-Projekt unter AWS CloudWatch Ereignisse die Option Detective GuardDuty URLs aus.