Detective가 동작 그래프를 구축하는 방법

탐지는 무언가 잘못되었다는 사실을 알려 주고, 조사는 실제로 무슨 일이 일어났는지 알려 줍니다. Amazon Detective는 조사를 위해 구축된 서비스입니다. 이 서비스는 활동을 자동으로 분석하고 시각적 모델을 만들어 탐지 결과의 이면에 있는 전체 상황을 이해하도록 지원합니다.

Detective는 로그 데이터를 지속적으로 수집하고 연결하여 시간에 따른 동작 그래프를 구축합니다. 서비스 전반의 로그를 직접 연관 지을 필요 없이, 계정, 인스턴스, IP 주소와 같은 엔터티가 서로 어떻게 상호 작용했는지 미리 구축된 검색 가능한 형태로 확인할 수 있습니다.

핵심 구성 요소는 동작 그래프입니다. 노드는 엔터티(IAM 역할, EC2 인스턴스, IP 주소, 계정 등)이고, 간선은 엔터티 사이의 상호 작용과 활동입니다. 그래프는 정상적인 기준선과 그 편차를 포착하므로 조사자는 원시 로그 대신 상황을 파악할 수 있는 지도를 얻습니다.

Detective는 탐지에 사용되는 것과 동일한 종류의 텔레메트리인 CloudTrail 관리 이벤트, VPC Flow Logs, GuardDuty 탐지 결과와 EKS 감사 로그를 바탕으로 그래프를 구축합니다. 상관관계 분석을 자동으로 수행하므로 이러한 소스를 직접 모을 필요가 없습니다.

GuardDuty와 마찬가지로 Detective는 에이전트 없이 완전 관리형으로 제공됩니다. 활성화하면 필요한 데이터를 가져오므로 로그 파이프라인이나 저장소를 구축할 필요가 없습니다. 또한 연결된 활동을 약 1년 동안 보존하므로 보존 기간을 직접 관리하지 않아도 장기간에 걸쳐 조사할 수 있습니다.

Detective는 머신 러닝과 통계를 사용해 각 엔터티의 정상 상태를 학습한 다음 편차를 강조합니다. 기준선을 알고 있으면 조사자는 예를 들어 인스턴스가 평소보다 훨씬 많은 API 호출을 갑자기 수행했다는 사실을 확인할 수 있으며, 이는 침해의 강력한 신호입니다.

그래프는 대화형 시각화로 표시됩니다. 여기에는 타임라인, 각 엔터티의 프로필, 활동 차트가 포함됩니다. 분석가는 관련 엔터티를 클릭하며 흔적을 추적할 수 있습니다. 이러한 시각적 접근 방식은 로그를 몇 시간 동안 직접 검색하는 작업을 안내형 탐색으로 바꿉니다.

핵심적인 차이는 다음과 같습니다. GuardDuty는 탐지하고 Detective는 조사합니다. GuardDuty는 탐지 결과를 생성하고, Detective는 그 범위와 근본 원인 및 영향을 파악하도록 지원합니다. 두 서비스는 상호 보완적이며, 시험에서는 조사와 근본 원인 분석이 필요할 때 Detective를 선택해야 합니다.

Detective는 AWS Organizations와 통합되고 위임된 관리자를 지원하므로, 보안 계정 하나에서 모든 구성원 계정의 활동을 하나의 동작 그래프로 조사할 수 있습니다. 이는 일관된 다중 계정 운영을 위해 GuardDuty 및 Security Hub가 제공하는 방식과 유사합니다.

Detective는 동작 그래프에 연결된 활동을 약 1년 동안 보존하며, 이는 GuardDuty의 기본 탐지 결과 보존 기간보다 훨씬 깁니다. 이렇게 긴 조회 기간을 사용하면 조사자가 의심스러운 동작이 몇 주 전부터 시작되었는지 확인할 수 있으므로, 짧은 기간으로는 놓칠 수 있는 느리고 은밀한 침입도 발견할 수 있습니다. 이러한 확장된 기록이 Detective가 탐지를 중복하는 대신 보완하는 핵심 이유입니다.

실무적으로 중요한 사항은 Detective를 활성화하려면 먼저 일정 기간(약 48시간) 동안 GuardDuty가 활성화되어 있어야 한다는 점입니다. Detective는 GuardDuty 탐지 결과와 동일한 기반 텔레메트리를 사용해 동작 그래프의 초기 데이터를 구성하기 때문입니다. 두 서비스는 탐지가 조사로 이어지도록 긴밀하게 연동되도록 설계되었습니다.

탐지와 조사를 구분해 보십시오.

Detective는 에이전트 없이 제공되는 관리형 조사 서비스입니다. CloudTrail, VPC Flow Logs, GuardDuty 탐지 결과 및 EKS 감사 로그를 엔터티와 상호 작용으로 구성된 동작 그래프로 연결하고, 정상 동작의 기준선을 설정하며, 약 1년간의 조회 기간을 포함한 대화형 시각화를 제공합니다. GuardDuty는 탐지하고 Detective는 근본 원인과 범위를 조사합니다.