Comment Detective construit un graphe de comportements

La détection vous indique qu’un problème existe ; l’investigation vous explique ce qui s’est réellement passé. Amazon Detective est le service conçu pour l’investigation. Il analyse automatiquement l’activité et construit un modèle visuel pour vous aider à comprendre toute l’histoire derrière une détection, et pas seulement l’alerte.

Detective ingère et relie en continu les données de journalisation afin de construire un graphe des comportements au fil du temps. Au lieu de corréler manuellement les journaux entre les services, vous disposez d’une représentation interrogeable et prédéfinie de la manière dont des entités telles que les comptes, les instances et les adresses IP ont interagi.

La structure centrale est le graphe des comportements : les nœuds sont des entités (comme des rôles IAM, des instances EC2, des adresses IP et des comptes), tandis que les arêtes représentent les interactions et l’activité entre elles. Le graphe enregistre les références du comportement normal et les écarts, fournissant aux enquêteurs une carte plutôt que des journaux bruts.

Detective construit son graphe à partir de types de télémétrie similaires à ceux utilisés pour la détection : les événements de gestion CloudTrail, les journaux de flux VPC et les détections GuardDuty, ainsi que les journaux d’audit EKS. Il effectue automatiquement la corrélation complexe, sans que vous ayez à rassembler ces sources manuellement.

Comme GuardDuty, Detective est sans agent et entièrement géré. Vous l’activez et il récupère les données dont il a besoin ; vous n’avez pas à créer de chaînes de traitement de journaux ni de stockage. Il conserve également environ un an d’activité liée, ce qui offre une longue période d’analyse rétrospective sans que vous ayez à gérer la conservation.

Detective utilise l’apprentissage automatique et les statistiques pour déterminer ce qui est normal pour chaque entité, puis met en évidence les écarts. La connaissance de cette référence permet à l’enquêteur de constater, par exemple, qu’une instance a soudainement effectué beaucoup plus d’appels d’API que d’habitude, ce qui constitue un signal fort de compromission.

Le graphe est présenté sous forme de visualisations interactives : chronologies, profils de chaque entité et graphiques d’activité. Un analyste parcourt les entités associées pour suivre une piste. Cette approche visuelle transforme des heures de recherche dans les journaux en une exploration guidée.

Une distinction essentielle : GuardDuty détecte, Detective enquête. GuardDuty crée une détection ; Detective vous aide à déterminer son périmètre, sa cause première et son impact. Les deux services sont complémentaires, et l’examen attend de vous que vous choisissiez Detective lorsqu’il est question d’investigation et d’analyse de la cause première.

Detective s’intègre à AWS Organizations et prend en charge un administrateur délégué. Ainsi, un compte de sécurité peut investiguer l’activité de tous les comptes membres dans un seul graphe des comportements. Cela reprend le modèle de GuardDuty et de Security Hub pour assurer une gestion cohérente entre plusieurs comptes.

Detective conserve environ un an d’activité associée dans le graphe des comportements, soit beaucoup plus longtemps que la durée de conservation par défaut des détections GuardDuty. Cette longue période d’analyse rétrospective permet aux enquêteurs de voir si un comportement suspect a commencé plusieurs semaines auparavant, révélant des intrusions lentes et discrètes qu’une fenêtre courte ne permettrait pas de détecter. Cet historique étendu explique notamment pourquoi Detective complète la détection au lieu de la dupliquer.

Un détail pratique : Detective exige que GuardDuty ait été activé pendant une certaine période (environ 48 heures) avant que vous puissiez activer Detective. En effet, Detective utilise les détections GuardDuty et la même télémétrie sous-jacente pour initialiser son graphe des comportements. Les deux services sont conçus pour fonctionner conjointement, la détection alimentant l’investigation.

Distinguez la détection de l’investigation.

Detective est le service d’investigation géré et sans agent. Il relie CloudTrail, les journaux de flux VPC, les détections GuardDuty et les journaux d’audit EKS dans un graphe des comportements représentant les entités et leurs interactions. Il établit le comportement normal et présente des visualisations interactives avec environ un an d’analyse rétrospective. GuardDuty détecte ; Detective enquête sur la cause première et le périmètre.