Detectiveが行動グラフを構築する仕組み

検出によって問題の発生はわかりますが、実際に何が起きたかを明らかにするのは調査です。Amazon Detectiveは調査のために作られたサービスです。アクティビティを自動的に分析して視覚的なモデルを構築するため、単なるアラートではなく、検出結果の背後にある全体像を理解できます。

Detectiveはログデータを継続的に取り込み、関連付け、時間経過に伴う動作のグラフを構築します。サービス間のログを手作業で関連付ける代わりに、アカウント、インスタンス、IPアドレスなどのエンティティがどのように相互作用したかを、あらかじめ構築された検索可能な形で確認できます。

中心となる構成要素はビヘイビアグラフです。ノードはエンティティ（IAMロール、EC2インスタンス、IPアドレス、アカウントなど）を表し、エッジはそれらの間の相互作用やアクティビティを表します。グラフは通常時の基準値とそこからの逸脱を捉えるため、調査担当者は生のログではなく、状況を把握するための地図を得られます。

Detectiveは、検出に使われるものと同じ種類のテレメトリ、つまりCloudTrail管理イベント、VPC Flow Logs、GuardDutyの検出結果に加えて、EKS監査ログからグラフを構築します。データの相関付けは自動的に行われるため、これらのソースを手作業で組み合わせる必要はありません。

GuardDutyと同様に、Detectiveはエージェントレスで完全マネージドです。有効化するだけで必要なデータを取得するため、ログパイプラインやストレージを構築する必要はありません。また、関連付けられたアクティビティをおよそ1年間保持するため、保持期間を自分で管理しなくても、長期間さかのぼって調査できます。

Detectiveは機械学習と統計を使って、各エンティティにとって正常な状態を学習し、そこからの逸脱を強調表示します。ベースラインがわかることで、たとえばあるインスタンスが通常より大幅に多くのAPI呼び出しを突然行ったことを調査担当者が把握できます。これは侵害を示す強いシグナルです。

グラフは、タイムライン、各エンティティのプロファイル、アクティビティチャートなどのインタラクティブな可視化として表示されます。アナリストは関連するエンティティをクリックして、痕跡を追跡できます。この視覚的なアプローチにより、何時間もログを検索する作業が、ガイド付きの探索に変わります。

重要な違いは、GuardDutyが検出し、Detectiveが調査するということです。GuardDutyは検出結果を生成し、Detectiveはその範囲、根本原因、影響を特定するのに役立ちます。両者は相補的なサービスであり、調査や根本原因分析が必要な場合はDetectiveを選ぶことが試験で求められます。

DetectiveはAWS Organizationsと統合され、委任された管理者をサポートします。そのため、セキュリティアカウントから、すべてのメンバーアカウントのアクティビティを1つのビヘイビアグラフで調査できます。これはGuardDutyやSecurity Hubと同じ考え方で、マルチアカウント運用の一貫性を保てます。

Detectiveは、ビヘイビアグラフ内に関連付けられたアクティビティをおよそ1年間保持します。これはGuardDutyのデフォルトの検出結果保持期間よりもはるかに長い期間です。この長い検索範囲により、疑わしい動作が数週間前に始まっていたかどうかを調査でき、短い期間では見逃すような、ゆっくりと進む隠密な侵入も明らかにできます。この拡張された履歴があるため、Detectiveは検出機能を重複して提供するのではなく、補完するサービスとなっています。

実務上の注意点として、Detectiveを有効にするには、その前にGuardDutyを一定期間（約48時間）有効にしておく必要があります。DetectiveはGuardDutyの検出結果と同じ基盤テレメトリを使って、ビヘイビアグラフの基礎データを作成するためです。この2つのサービスは、検出結果を調査に引き渡す形で、連携して動作するように設計されています。

検出と調査の違いを区別してください。

Detectiveは、エージェントレスでマネージドな調査サービスです。CloudTrail、VPC Flow Logs、GuardDutyの検出結果、EKS監査ログを関連付け、エンティティと相互作用のビヘイビアグラフを構築します。通常の動作をベースライン化し、およそ1年間さかのぼれるインタラクティブな可視化を提供します。GuardDutyが検出を担当し、Detectiveが根本原因と影響範囲を調査します。