Jak Detective tworzy graf zachowań

Wykrywanie informuje, że coś jest nie tak, a dochodzenie pozwala ustalić, co naprawdę się wydarzyło. Amazon Detective to usługa przeznaczona do investigation. Automatycznie analizuje aktywność i buduje model wizualny, dzięki czemu mogą Państwo zrozumieć pełny kontekst findingu, a nie tylko sam alert.

Detective nieprzerwanie pobiera i łączy dane z logów, aby zbudować graf zachowania w czasie. Zamiast ręcznie korelować logi z różnych usług otrzymują Państwo gotowy, przeszukiwalny obraz interakcji między encjami, takimi jak konta, instancje i adresy IP.

Podstawową strukturą jest graf zachowania: węzły reprezentują encje, takie jak role IAM, instancje EC2, adresy IP i konta, a krawędzie — interakcje oraz aktywność między nimi. Graf odwzorowuje normalne wartości bazowe i odchylenia od nich, dając osobom prowadzącym dochodzenie mapę zamiast surowych logów.

Detective buduje graf na podstawie tego samego rodzaju danych telemetrycznych co usługi wykrywania: zdarzeń zarządzania CloudTrail, VPC Flow Logs i findingów GuardDuty, a także logów audytowych EKS. Automatycznie wykonuje skomplikowaną korelację, więc nie muszą Państwo ręcznie łączyć tych źródeł.

Podobnie jak GuardDuty, Detective jest usługą bezagentową i w pełni zarządzaną. Wystarczy ją włączyć, a usługa pobierze potrzebne dane; nie muszą Państwo tworzyć potoków logów ani zarządzać ich przechowywaniem. Detective przechowuje również około roku połączonej aktywności, zapewniając długi okres wstecz na potrzeby dochodzeń bez konieczności samodzielnego zarządzania retencją.

Detective wykorzystuje uczenie maszynowe i metody statystyczne, aby poznać normalne zachowanie każdej encji, a następnie wskazuje odchylenia. Znajomość wartości bazowych pozwala osobie prowadzącej dochodzenie zauważyć na przykład, że instancja nagle wykonała znacznie więcej wywołań API niż zwykle, co jest silnym sygnałem przejęcia.

Graf jest prezentowany w postaci interaktywnych wizualizacji: osi czasu, profili poszczególnych encji i wykresów aktywności. Analityk może przechodzić między powiązanymi encjami, śledząc przebieg zdarzeń. Takie wizualne podejście zamienia wielogodzinne przeszukiwanie logów w ukierunkowaną analizę.

Najważniejsze rozróżnienie brzmi: GuardDuty wykrywa, a Detective prowadzi dochodzenie. GuardDuty generuje finding, natomiast Detective pomaga ustalić jego zakres, przyczynę źródłową i wpływ. Usługi się uzupełniają, a na egzaminie należy wybrać Detective, gdy potrzebne jest dochodzenie i analiza przyczyny źródłowej.

Detective integruje się z AWS Organizations i obsługuje delegated administrator, dzięki czemu konto bezpieczeństwa może analizować aktywność ze wszystkich kont członkowskich w jednym grafie zachowania. Jest to zgodne z działaniem GuardDuty i Security Hub, zapewniając spójne operacje obejmujące wiele kont.

Detective przechowuje w grafie zachowania około roku powiązanej aktywności, czyli znacznie dłużej niż domyślny okres przechowywania findingów przez GuardDuty. Tak długi zakres danych wstecz pozwala ustalić, czy podejrzane zachowanie rozpoczęło się kilka tygodni wcześniej, ujawniając powolne i skryte włamania, które umknęłyby przy krótszym oknie czasowym. Rozszerzona historia jest jednym z głównych powodów, dla których Detective uzupełnia wykrywanie, zamiast je dublować.

Warto pamiętać o praktycznym szczególe: przed włączeniem Detective usługa wymaga, aby GuardDuty było włączone przez pewien czas (około 48 godzin). Wynika to z faktu, że Detective wykorzystuje findingi GuardDuty oraz te same podstawowe dane telemetryczne do zainicjowania grafu zachowania. Obie usługi zaprojektowano do współpracy — wykrywanie dostarcza dane do dochodzenia.

Rozróżnij wykrywanie od dochodzenia.

Detective to bezagentowa, zarządzana usługa służąca do investigation. Łączy CloudTrail, VPC Flow Logs, findingi GuardDuty i logi audytowe EKS w graf zachowania encji oraz interakcji, ustala normalne wartości bazowe i udostępnia interaktywne wizualizacje z około rocznym zakresem danych wstecz. GuardDuty wykrywa, a Detective bada przyczynę źródłową i zakres zdarzenia.