Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Come viene utilizzato Detective per le indagini
Amazon Detective consente di analizzare, esaminare e identificare rapidamente la causa principale dei risultati di sicurezza o delle attività sospette. Detective fornisce strumenti a supporto dell'intero processo di indagine. Un'indagine in Detective può iniziare da un risultato, un gruppo di risultati o un'entità.
## Fasi investigative in Detective
Qualsiasi processo investigativo da Detective prevede le seguenti fasi:
****Triage****
Il processo di indagine inizia quando si riceve una notifica relativa a un caso sospetto di attività dannosa o ad alto rischio. Ad esempio, ti viene assegnato il compito di esaminare i risultati o gli avvisi rilevati da servizi come Amazon GuardDuty e Amazon Inspector.
Nella fase di triage, stabilisci se ritieni che l'attività sia un vero positivo (una reale attività dannosa) o un falso positivo (attività non dannosa o ad alto rischio). I profili Detective supportano il processo di triage fornendo informazioni sull'attività dell'entità coinvolta.
Per i casi di vero positivo, si passa alla fase successiva.
****Analisi dell'ambito****
Durante la fase di analisi dell'ambito, gli analisti determinano l'entità dell'attività dannosa o ad alto rischio e la causa sottostante.
L'analisi dell'ambito risponde ai seguenti tipi di domande:
+ Quali sistemi e utenti sono stati compromessi?
+ Da dove ha avuto origine l'attacco?
+ Da quanto tempo è in corso l'attacco?
+ Ci sono altre attività correlate da considerare? Ad esempio, se un utente malintenzionato sta estraendo dati dal sistema, come li ha ottenuti?
Le visualizzazioni di Detective possono aiutarti a identificare altre entità coinvolte o interessate.
**Risposta**
Il passaggio finale consiste nel rispondere all'attacco per fermarlo, minimizzare i danni ed evitare che un attacco simile si ripeta.
## Punti di partenza per un'indagine investigativa
Ogni indagine in Detective ha un punto di partenza essenziale. Ad esempio, ti potrebbe essere assegnato un Amazon GuardDuty o un AWS Security Hub CSPM risultato su cui indagare. Oppure potresti essere preoccupato per le attività insolite relative a un indirizzo IP specifico.
I punti di partenza tipici di un'indagine includono i risultati rilevati dai dati di origine del Detective GuardDuty e le entità estratte dai dati di origine.
### Risultati rilevati da GuardDuty
GuardDuty utilizza i dati di registro per scoprire casi sospetti di attività dannose o ad alto rischio. Detective fornisce risorse che ti aiutano a indagare su questi risultati.
Per ogni risultato, Detective fornisce i relativi dettagli. Detective mostra anche le entità, come gli indirizzi IP e AWS gli account, collegate alla scoperta.
È quindi possibile esaminare l'attività delle entità coinvolte per determinare se l'attività rilevata dal risultato sia davvero motivo di preoccupazione.
Per ulteriori informazioni, consulta [Analisi di una panoramica dei risultati in Detective](finding-overview.md).
### AWS risultati di sicurezza aggregati da Security Hub CSPM
AWS Security Hub CSPM aggrega i risultati di sicurezza di vari fornitori di risultati in un unico posto e offre una visione completa dello stato di sicurezza in. AWS Security Hub CSPM elimina la complessità di gestire grandi volumi di risultati provenienti da più provider. Riduce lo sforzo richiesto per gestire e migliorare la sicurezza di tutti gli AWS account, le risorse e i carichi di lavoro. Detective fornisce risorse che ti aiutano a indagare su questi risultati.
Per ogni risultato, Detective fornisce i relativi dettagli. Detective mostra anche le entità, come gli indirizzi IP e AWS gli account, collegate alla scoperta.
Per ulteriori informazioni, consulta [Analisi di una panoramica dei risultati in Detective](finding-overview.md).
### Entità estratte dai dati di origine di Detective
Dai dati di origine di Detective importati, Detective estrae entità come indirizzi IP e utenti AWS . Puoi usare una di queste entità come punto di partenza per l'indagine.
Detective fornisce dettagli generali sull'entità, come l'indirizzo IP o il nome utente. Fornisce anche i dettagli sulla cronologia delle attività. Ad esempio, Detective può segnalare a quali altri indirizzi IP un'entità si è connessa, è stata connessa o ha utilizzato.
Per ulteriori informazioni, consulta [Analisi delle entità in Amazon Detective](entity-profiles.md).
## Flusso investigativo investigativo
Puoi usare Amazon Detective per indagare su un'entità come un'istanza EC2 o un AWS utente. Puoi anche esaminare i risultati di sicurezza.
A un livello elevato, l'immagine seguente mostra il processo di un'Indagine Detective.
![\[Diagramma che mostra il processo investigativo del Detective.\]](http://docs.aws.amazon.com/it_it/detective/latest/userguide/images/diagram_investigation_flow_entity.png)
**Fase 1: Selezione dell'entità da esaminare**
Quando esaminano un reperto GuardDuty, gli analisti possono scegliere di indagare su un'entità associata in Detective. Per informazioni, consulta [Passare a un profilo di entità o cercare una panoramica su Amazon oppure GuardDuty AWS Security Hub CSPM](navigate-to-profile.md#profile-pivot-from-service).
Selezionando l'entità si accede al profilo dell'entità in Detective.
**Fase 2: Analisi delle visualizzazioni sui profili**
Ogni profilo di entità contiene una serie di visualizzazioni generate dal grafico di comportamento. Il grafico di comportamento viene creato dai file di log e da altri dati che vengono inseriti in Detective.
Le visualizzazioni mostrano attività correlate a un'entità. Queste visualizzazioni vengono utilizzate per rispondere a domande volte a determinare se l'attività dell'entità è insolita. Per informazioni, consulta [Analisi delle entità in Amazon Detective](entity-profiles.md).
Per condurre un'indagine, puoi utilizzare la guida di Detective fornita per ogni visualizzazione. Questa guida delinea le informazioni visualizzate, suggerisce domande da porre e propone i passaggi successivi in base alle risposte. Per informazioni, consulta [Utilizzo della guida del pannello del profilo durante un'indagine](profile-panel-drilldown-kubernetes-api-volume.md#profile-panel-guidance).
Ogni profilo contiene un elenco di risultati associati. È possibile visualizzare i dettagli di un risultato e visualizzare la panoramica dei risultati. Per informazioni, consulta [Visualizzazione dei dettagli dei risultati associati in Detective](entity-finding-list.md).
Da un profilo di entità, puoi passare ad altri profili di entità e di risultati per approfondire le attività relative alle risorse correlate.
**Fase 3: Operazioni**
In base ai risultati dell'indagine, intraprendi le azioni appropriate.
Se il risultato è un falso positivo, puoi archiviarlo. Da Detective, puoi archiviare GuardDuty i risultati. Per maggiori dettagli, consulta [Archiviazione di un GuardDuty risultato Amazon](https://docs.aws.amazon.com//detective/latest/userguide/finding-update-status.html).
Altrimenti, intraprendi le azioni appropriate per risolvere la vulnerabilità e mitigare i danni. Ad esempio, potrebbe essere necessario aggiornare la configurazione di una risorsa.
# Indagine Detective
Puoi utilizzare Amazon Detective Investigation per indagare sugli utenti e sui ruoli IAM utilizzando indicatori di compromissione, che possono aiutarti a determinare se una risorsa è coinvolta in un incidente di sicurezza. Un indicatore di compromissione (IOC) è un artefatto osservato all'interno o su una rete, un sistema o un ambiente in grado di identificare (con un elevato livello di sicurezza) attività dannose o incidenti di sicurezza. Con Detective Investigations puoi massimizzare l'efficienza, concentrarti sulle minacce alla sicurezza e rafforzare le capacità di risposta all'incidenza.
Detective Investigation utilizza modelli di apprendimento automatico e intelligence sulle minacce per analizzare automaticamente le risorse nell' AWS ambiente e identificare potenziali incidenti di sicurezza. Consente di utilizzare in modo proattivo, efficace ed efficiente l'automazione basata sul grafico di comportamento di Detective per migliorare le operazioni di sicurezza. Usando Detective Investigation puoi indagare sulle tattiche di attacco, sui viaggi impossibili, sugli indirizzi IP contrassegnati e sulla ricerca di gruppi. Esegue le fasi iniziali di indagine sulla sicurezza e genera un report che evidenzia i rischi identificati da Detective, per aiutarti a comprendere gli eventi di sicurezza e rispondere a potenziali incidenti.
**Topics**
+ [Esecuzione di un'indagine investigativa](run-investigations.md)
+ [Revisione dei rapporti delle Indagini Detective](investigations-report.md)
+ [Comprensione di un rapporto di Investigazioni Detective](investigations-report-understand.md)
+ [Riepilogo del rapporto Detective Investigations](investigations-summary.md)
+ [Scaricamento di un rapporto sulle Indagini Detective](download-investigation.md)
+ [Archiviazione di un rapporto di Investigazioni Detective](archive-investigation.md)
# Esecuzione di un'indagine investigativa
Utilizza **Esegui un'indagine** per analizzare risorse quali gli utenti IAM e i ruoli IAM e per generare un report di indagini. Il rapporto generato descrive in dettaglio il comportamento anomalo che indica un potenziale compromesso.
------
#### [ Console ]
Segui questi passaggi per eseguire un'indagine investigativa dalla **pagina Investigazioni** utilizzando la console Amazon Detective.
1. Accedi alla console di AWS gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Nella pagina **Investigazioni**, scegli **Esegui indagine** nell'angolo in alto a destra.
1. Nella sezione **Seleziona risorsa**, hai tre modi per condurre un'indagine. Puoi scegliere di condurre l'indagine su una risorsa consigliata dal Detective. Puoi eseguire l'indagine per una risorsa specifica. Puoi anche esaminare una risorsa dalla pagina Ricerca di Detective.
1. `Choose a recommended resource`— Detective consiglia le risorse in base alla sua attività nei risultati e nei gruppi di ricerca. Per eseguire l'indagine su una risorsa consigliata dal Detective, nella tabella **Risorse consigliate**, selezionare una risorsa da esaminare.
La tabella Risorse consigliate fornisce i seguenti dettagli:
+ **ARN della risorsa**: l'Amazon Resource Name (ARN) della risorsa. AWS
+ **Motivo dell'indagine**: visualizza i motivi principali per esaminare la risorsa. I motivi per cui Detective suggerisce di esaminare una risorsa sono i seguenti:
+ Se una risorsa è stata coinvolta in un esito di elevata gravità nelle ultime 24 ore.
+ Se una risorsa è stata coinvolta in un gruppo di risultati osservati negli ultimi sette giorni. I gruppi di risultati di Detective ti consentono di esaminare più attività in relazione a un potenziale evento di sicurezza. Per ulteriori dettagli, consultare [Analisi dei gruppi di risultati](groups-about.md).
+ Se una risorsa è stata coinvolta in un esito negli ultimi sette giorni.
+ **Risultati più recenti**: i risultati più recenti hanno la priorità all'inizio dell'elenco.
+ **Tipo di risorsa**: identifica il tipo di risorsa. Ad esempio, un AWS utente o AWS un ruolo.
1. `Specify an AWS role or user with an ARN`— È possibile selezionare un AWS ruolo o un AWS utente ed eseguire un'indagine per la risorsa specifica.
Segui questi passaggi per esaminare un tipo di risorsa specifico.
1. Dall'elenco a discesa **Seleziona il tipo di risorsa**, scegli AWS ruolo o AWS utente.
1. Inserisci l'**ARN della risorsa** IAM. Per maggiori dettagli su Resource ARNs, consulta [Amazon Resource Names (ARNs)](https://docs.aws.amazon.com//IAM/latest/UserGuide/reference-arns.html) nella IAM User Guide.
1. `Find a resource to investigate from the Search page`— Puoi cercare tutte le tue risorse IAM dalla pagina Detective **Search**.
Segui questi passaggi per esaminare una risorsa dalla pagina di ricerca.
1. Nel riquadro di navigazione selezionare **Search (Cerca)**.
1. Nella pagina di ricerca, cerca una risorsa IAM.
1. Vai alla pagina del profilo della risorsa ed esegui l'indagine da lì.
1. Nella sezione **Ambito temporale dell'indagine**, scegli l'**intervallo temporale** dell'indagine per valutare l'attività della risorsa selezionata. Puoi selezionare una **Data di inizio** e un'**Ora di inizio**, nonché una **Data di fine** e un'**Ora di fine**. Il periodo di validità selezionato può essere compreso tra un minimo di 3 ore e un massimo di 30 giorni.
1. Scegli **Esegui indagine**.
------
#### [ API ]
Per eseguire un'indagine a livello di codice, utilizza il [StartInvestigation](https://docs.aws.amazon.com//detective/latest/APIReference/API_StartInvestigation.html)funzionamento dell'API Detective. Per eseguire un'indagine utilizzando AWS Command Line Interface (AWS CLI), esegui il comando [start-investigation](https://awscli.amazonaws.com/v2/documentation/api/latest/reference/detective/start-investigation.html).
Nella richiesta, utilizza questi parametri per eseguire un'indagine in Detective:
+ `GraphArn`: specifica il nome della risorsa Amazon (ARN) del grafico di comportamento.
+ `EntityArn`: specifica il nome della risorsa Amazon (ARN) univoco dell'utente IAM e del ruolo IAM.
+ `ScopeStartTime`: facoltativamente, specifica la data e l'ora a partire dalle quali deve iniziare l'indagine. Il valore è una stringa in formato UTC ISO8601 . Ad esempio,. ` 2021-08-18T16:35:56.284Z`
+ `ScopeEndTime`: facoltativamente, specifica la data e l'ora in cui deve terminare l'indagine. Il valore è una stringa in ISO8601 formato UTC. Ad esempio,. ` 2021-08-18T16:35:56.284Z`
Questo esempio è formattato per Linux, macOS o Unix e utilizza il carattere di continuazione di barra rovesciata (\$1) per migliorare la leggibilità.
```
aws detective start-investigation \
--graph-arn arn:aws:detective:us-east-1:123456789123:graph:fdac8011456e4e6182facb26dfceade0
--entity-arn arn:aws:iam::123456789123:role/rolename --scope-start-time 2023-09-27T20:00:00.00Z
--scope-end-time 2023-09-28T22:00:00.00Z
```
------
Puoi anche eseguire un'indagine dalle seguenti pagine di Detective:
+ Una pagina del profilo di un utente IAM o di un ruolo IAM in Detective.
+ Il pannello di visualizzazione grafica di un gruppo di ricerca.
+ La colonna Operazioni di una risorsa coinvolta.
+ Un utente IAm o un ruolo IAM in una pagina dei risultati.
Dopo che Detective ha eseguito l'indagine su una risorsa, viene generato un report di indagini. Per accedere al rapporto, vai a **Indagini** dal riquadro di navigazione.
# Revisione dei rapporti delle Indagini Detective
I report di indagini ti consentono di esaminare i **report** generati per le indagini che hai eseguito in precedenza in Detective.
Esaminare i report di indagini
1. Accedi alla console di AWS gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
Prendi nota dei seguenti attributi tratti da un report di indagini.
+ **ID**: l'identificatore generato del report sulle indagini. Puoi scegliere questo **ID** per leggere un riepilogo del report di indagine, che contiene i dettagli dell'indagine.
+ **Stato**: a ogni indagine è associato uno **stato** basato sullo stato di completamento dell'indagine. I valori dello stato possono essere **In corso**, **Completata** o **Non riuscita**.
+ **Gravità**: a ogni indagine viene assegnata una **gravità**. Detective assegna automaticamente una gravità al risultato.
Una gravità rappresenta la disposizione analizzata dall'indagine su una singola risorsa in un determinato periodo di validità. Una gravità segnalata da un'indagine non implica né indica in altro modo la criticità o l'importanza che una risorsa interessata potrebbe avere per l'organizzazione.
I valori di gravità delle indagini possono essere **Critico**, **Alto**, **Medio**, **Basso** o **Informativo**, dal più grave al meno grave.
Le indagini a cui viene assegnato un valore di gravità Critico o Alto devono avere la priorità per ulteriori ispezioni, poiché è più probabile che rappresentino problemi di sicurezza ad alto impatto identificati da Detective.
+ **Entità**: la colonna **Entità** contiene dettagli sulle entità specifiche rilevate nell'indagine. Alcune entità sono AWS account, come utente e ruolo.
+ **Stato**: la colonna **Data di creazione** contiene dettagli sulla data e l'ora in cui il report di indagine è stato creato per la prima volta.
# Comprensione di un rapporto di Investigazioni Detective
Un rapporto di Investigazioni Detective elenca un riepilogo dei comportamenti non comuni o delle attività dannose che indicano una compromissione. Elenca inoltre le raccomandazioni suggerite da Detective per mitigare il rischio per la sicurezza.
Visualizzare un report di indagini relativo a un ID di indagine specifico.
1. Accedi alla console di AWS gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Nella tabella **Report**, seleziona un **ID** dell'indagine.
![\[I report di indagini ti consentono di esaminare i report generati per le indagini che hai eseguito in precedenza in Detective.\]](http://docs.aws.amazon.com/it_it/detective/latest/userguide/images/detective-investigations-report.png)
Detective genera il report per il **periodo di validità** e l'**utente** selezionati. Il report contiene una sezione **Indicatori di compromesso** che include dettagli su uno o più degli indicatori di compromesso elencati di seguito. Quando esamini ogni indicatore di compromesso, facoltativamente scegli un elemento di cui approfondire ed esaminarne i dettagli.
+ **Tattiche. Tecniche e procedure**: identifica tattiche, tecniche e procedure (TTPs) utilizzate in un potenziale evento di sicurezza. Il framework MITRE ATT&CK viene utilizzato per comprendere il. TTPs Le tattiche si basano sulla [matrice MITRE ATT&CK per Enterprise](https://attack.mitre.org/matrices/enterprise/).
+ **Indirizzi IP segnalati da intelligence delle minacce**: gli indirizzi IP sospetti vengono contrassegnati e identificati come minacce critiche o gravi sulla base dell'intelligence delle minacce di Detective.
+ **Impossible Travel**: rileva e identifica attività utente insolite e impossibili per un account. Ad esempio, questo indicatore riporta un cambiamento drastico tra la posizione di origine e quella di destinazione di un utente in un breve lasso di tempo.
+ **Gruppo di risultati correlato**: mostra più attività correlate a un potenziale evento di sicurezza. Detective utilizza tecniche di analisi dei grafici che deducono le relazioni tra risultati ed entità e li raggruppa in un gruppo di risultati.
+ **Risultati correlati**: le attività correlate associate a un potenziale evento di sicurezza. Elenca tutte le categorie distinte di prove collegate alla risorsa o al gruppo di risultati.
+ **Nuove geolocalizzazioni**: identifica le nuove geolocalizzazioni utilizzate a livello di risorsa o di account. Ad esempio, questo indicatore elenca una geolocalizzazione osservata che è una posizione poco frequente o inutilizzata in base all'attività precedente dell'utente.
+ **Nuovi agenti utente**: identifica i nuovi agenti utente utilizzati a livello di risorsa o di account.
+ **Nuovo ASOs**: identifica le nuove Organizzazioni di sistema autonome (ASOs) utilizzate a livello di risorsa o di account. Ad esempio, questo indicatore elenca una nuova organizzazione assegnata come ASO.
# Riepilogo del rapporto Detective Investigations
Il riepilogo delle indagini evidenzia gli indicatori anomali che richiedono attenzione, per il periodo di tempo selezionato. Utilizzando il riepilogo, è possibile identificare più rapidamente la causa principale dei potenziali problemi di sicurezza, identificare i modelli e comprendere le risorse interessate dagli eventi di sicurezza.
Nel riepilogo dettagliato del report di indagini puoi visualizzare i dettagli seguenti.
**Panoramica delle indagini**
Nel pannello **Panoramica**, puoi vedere una visualizzazione delle attività IPs con elevata gravità, che può fornire maggiori informazioni sul percorso di un aggressore.
Detective evidenzia **Attività insolita** nell'indagine, ad esempio l'impossibilità di viaggiare da una origine a una destinazione lontana da parte dell'utente IAM.
Detective mappa le indagini in base a tattiche, tecniche e procedure (TTPs) utilizzate in un potenziale evento di sicurezza. Il framework MITRE ATT&CK viene utilizzato per comprendere il. TTPs Le tattiche si basano sulla [matrice MITRE ATT&CK per Enterprise](https://attack.mitre.org/matrices/enterprise/).
**Indicatori delle indagini**
È possibile utilizzare le informazioni nel riquadro **Indicatori** per determinare se una risorsa AWS è coinvolta in attività insolite che potrebbero indicare un comportamento dannoso e il relativo impatto. Un indicatore di compromissione (IOC) è un artefatto osservato all'interno o su una rete, un sistema o un ambiente in grado di identificare (con un elevato livello di sicurezza) attività dannose o incidenti di sicurezza.
# Scaricamento di un rapporto sulle Indagini Detective
Puoi scaricare il rapporto Detective Investigations in formato JSON, per analizzarlo ulteriormente o archiviarlo nella tua soluzione di archiviazione preferita, ad esempio un bucket Amazon S3.
**Download di un report di indagini dalla tabella Report.**
1. Accedi alla console di gestione. AWS Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Seleziona un'indagine dalla tabella **Report**, quindi scegli **Scarica**.
**Download di un report di indagini dalla pagina di riepilogo.**
1. Accedi alla console AWS di gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Seleziona un'indagine dalla tabella **Report**.
1. Nella pagina di riepilogo delle indagini, scegli **Scarica**.
# Archiviazione di un rapporto di Investigazioni Detective
Una volta completata l'indagine in Amazon Detective, puoi **archiviare** il report di indagini. Un'indagine archiviata indica che hai completato la revisione dell'indagine.
Puoi archiviare o annullare l'archiviazione di un'indagine solo se sei un amministratore di Detective. Detective conserverà le indagini archiviate per 90 giorni.
**Per archiviare un rapporto di indagine dalla tabella Report.**
1. Accedi alla console di AWS gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Seleziona un'indagine dalla tabella **Rapporti**, quindi scegli **Archivia**.
**Archiviare un report di indagine dalla pagina di riepilogo.**
1. Accedi alla console AWS di gestione. Quindi apri la console Detective all'indirizzo [https://console.aws.amazon.com/detective/](https://console.aws.amazon.com/detective/).
1. Nel riquadro di navigazione scegli **Indagini**
1. Seleziona un'indagine dalla tabella **Report**.
1. Nella pagina di riepilogo delle indagini, scegli **Archivia**.