Amazon Detective zur Analyse und Visualisierung von Sicherheitsvorfällen

In unserer zunehmend vernetzten Welt, in der ein Großteil der Unternehmen in der Cloud ihre Daten speichern und Applikationen betreiben, wird die Cloud-Security und somit die Sicherheit von Daten zu einer der größten Prioritäten. Cyberangriffe, Datenpannen und unbefugte Zugriffe auf kritische Unternehmensinformationen stehen heutzutage leider auf der Tagesordnung. Um sich vor diesen Bedrohungen zu schützen, hat AWS verschiedene cloud-native Security-Services in ihrer Plattform integriert. Das AWS Identity & Access Management dient der sicheren Verwaltung von Identitäten und des Zugriffs auf AWS-Ressourcen. Der AWS Security Hub als zentrales Sicherheits-Orchestierungstool aggregiert alle Security-Services. Amazon GuardDuty ist für die intelligente Bedrohungserkennung zuständig.

Doch was genau hilft eine Bedrohungserkennung, wenn die Ursache der Bedrohung nicht gefunden wird? An dieser Stelle kommt Amazon Detective als AWS-natives Security-Tool zum Einsatz. Detective dient der Analyse und Visualisierung von Sicherheitsvorfällen bzw. der aktiven Untersuchung von potenziellen Sicherheitsproblemen. Zum Beispiel könnte ein entsprechendes Finding im Security Hub der Auslöser einer Untersuchung sein. Neben diesen automatisierten Analysen können Trigger zur Nutzung von Detective auch Bedenken des Security-Teams sein, z. B. aufgrund ungewöhnlicher Aktivitäten für eine bestimmte IP-Adresse.

Die Grafik stellt die verschiedenen Bausteine von Detective dar und zeigt einige Beispiele möglicher Bedrohungen auf:

• Automatisierte Datenanalyse und -korrelation
  Detective verwendet maschinelles Lernen und statistische Analysen und Graphentheorie, um große Mengen an Log-Daten zu untersuchen. Der intelligente Service kombiniert hierbei Daten aus verschiedenen AWS-Services wie VPC Flow Logs, CloudTrail und GuardDuty. So sind Sicherheitsereignisse im Detail nachvollziehbar und die Ursache von verdächtigen Aktivitäten kann ermittelt werden.
• Graphische Darstellung von Sicherheitsereignissen
  Eine der Hauptfunktionen ist die graphische Darstellung von Sicherheitsvorfällen. Detective erstellt interaktive Diagramme, die es ermöglichen, verdächtige Aktivitäten visuell nachzuvollziehen und die Verbindungen zwischen verschiedenen Systemen und Nutzern zu verstehen. Dies hilft, ein klares Bild vom gesamten Vorfall zu bekommen.
• Einfache Verwendung
  Detective erfordert keine umfangreiche Einrichtung oder Konfiguration. Der Service funktioniert nahtlos mit anderen AWS-Services wie GuardDuty und CloudTrail, wodurch diese Datenquellen automatisch in die Analysen miteinbezogen werden. Zudem ist die Benutzeroberfläche intuitiv und benutzerfreundlich gestaltet.
• Erweiterte forensische Analyse
  Detective bietet detaillierte Forensik-Funktionen, mit denen Unternehmen tiefere Einblicke in Sicherheitsvorfälle gewinnen können. Jedes Detail eines Vorfalls kann zurückverfolgt werden, z. B. die Verbindungen zwischen betroffenen Ressourcen, ungewöhnliche Benutzeraktivitäten und die zeitliche Abfolge der Ereignisse.

Im Wesentlichen hilft Detective den Sicherheits- und Compliance-Teams von Unternehmen dabei, mit minimalem Aufwand tiefer in ihre Sicherheitsprotokolle einzutauchen. Sie erhalten detaillierte, verwertbare Informationen, die eine schnelle Reaktion und Aufklärung ermöglichen sowie darauf aufbauend zukünftig die Systeme zu härten.

Durch die standardisierte und voll automatisierte Implementierung von Amazon Detective in der audius secured AWS platform wird für alle AWS-Accounts der Service aktiviert und steht somit direkt zur Analyse bereit.

In Kombination mit GuardDuty, Inspector und vor allem der Aggregation im Security Hub können somit Compliance-Anforderungen wie PCI DSS und BSI C5 einfacher erfüllt werden. Eine Compliance-Anforderung des BSI C5 ist z. B. das Kriterium OPS-05 zum Schutz vor Schadprogrammen. Diese Anforderung besagt: „Cloud-Kunden stellen durch geeignete Kontrollen sicher, dass jene Ebenen des Cloud-Dienstes, die unter ihrer Verantwortung stehen, mit Sicherheitsprodukten zur Erkennung und Beseitigung von Schadprogrammen versehen sind.“ Diese geforderte Erkennung decken GuardDuty und Inspector in Kombination mit dem Security Hub ab. Die Verwaltung der Security-Findings findet zentral über den Security Hub statt, sodass der AWS-Security-Betrieb schnell, einfach und zentral abläuft. Für die Analyse der Ursache des Sicherheitsproblems wird Detective verwendet.

Mit unserer audius secured AWS platform erhalten Sie Security „out-of-the-box“. Die Einhaltung von Compliance-Anforderungen durch IT-Sicherheitsstandards wird dadurch sichergestellt und um Best Practices aus unserer Erfahrung angereichert. Zusätzlich stehen wir bei Bedarf bei der Umsetzung des Security-Betriebs an Ihrer Seite. Beides ist die Grundlage, um bei Ihnen Security und Compliance sicherzustellen. Bei Interesse oder Fragen melden Sie sich gerne bei uns.