Como o Detective Cria um Grafo de Comportamento

A detecção informa que há algo errado; a investigação informa o que realmente aconteceu. O Amazon Detective é o serviço criado para a investigação. Ele analisa atividades automaticamente e cria um modelo visual para que você compreenda toda a história por trás de uma constatação, não apenas o alerta.

O Detective ingere e relaciona continuamente dados de registro para criar um grafo de comportamento ao longo do tempo. Em vez de correlacionar manualmente registros entre serviços, você obtém uma visão pré-criada e consultável de como entidades, como contas, instâncias e endereços IP, interagiram.

A estrutura central é o grafo de comportamento: os nós são entidades, como funções do IAM, instâncias do EC2, endereços IP e contas, e as arestas são as interações e atividades entre elas. O grafo captura padrões normais e desvios, oferecendo aos investigadores um mapa em vez de registros brutos.

O Detective cria seu grafo a partir dos mesmos tipos de telemetria usados na detecção: eventos de gerenciamento do CloudTrail, registros de fluxo da VPC e constatações do GuardDuty, além de registros de auditoria do EKS. Ele faz toda a correlação complexa automaticamente, para que você não precise reunir essas fontes manualmente.

Assim como o GuardDuty, o Detective é sem agentes e totalmente gerenciado. Você o habilita, e ele coleta os dados necessários; você não precisa criar pipelines de registros nem armazenamento. Ele também retém aproximadamente um ano de atividades relacionadas, oferecendo um longo período de consulta para investigações sem que você precise gerenciar a retenção.

O Detective usa aprendizado de máquina e estatística para aprender o que é normal para cada entidade e, em seguida, destacar os desvios. Conhecer o padrão de referência permite ao investigador perceber que, por exemplo, uma instância passou a fazer muito mais chamadas de API do que o habitual, um forte sinal de comprometimento.

O grafo é apresentado como visualizações interativas: linhas do tempo, perfis de cada entidade e gráficos de atividade. Um analista navega pelas entidades relacionadas para seguir uma trilha. Essa abordagem visual transforma horas de busca em registros em uma exploração orientada.

Uma distinção importante: o GuardDuty detecta; o Detective investiga. O GuardDuty gera uma constatação; o Detective ajuda você a determinar seu escopo, sua causa raiz e seu impacto. Eles são complementares, e o exame espera que você escolha o Detective quando a necessidade for investigação e análise da causa raiz.

O Detective integra-se ao AWS Organizations e oferece suporte a um administrador delegado, para que uma conta de segurança possa investigar atividades de todas as contas-membro em um único grafo de comportamento. Isso é semelhante ao GuardDuty e ao Security Hub e proporciona operações consistentes em várias contas.

O Detective retém aproximadamente um ano de atividades relacionadas no grafo de comportamento, muito mais tempo do que a retenção padrão de constatações do GuardDuty. Esse longo período de consulta permite aos investigadores verificar se um comportamento suspeito começou semanas antes, revelando intrusões lentas e discretas que uma janela curta não mostraria. O histórico ampliado é um dos principais motivos pelos quais o Detective complementa, em vez de duplicar, a detecção.

Um detalhe prático: o Detective exige que o GuardDuty tenha sido habilitado por um período (cerca de 48 horas) antes que você possa habilitar o Detective. Isso ocorre porque o Detective usa as constatações do GuardDuty e a mesma telemetria subjacente para iniciar seu grafo de comportamento. Os dois serviços foram projetados para trabalhar em conjunto, com a detecção alimentando a investigação.

Diferencie detecção de investigação.

O Detective é o serviço de investigação gerenciado e sem agentes. Ele relaciona CloudTrail, registros de fluxo da VPC, constatações do GuardDuty e registros de auditoria do EKS em um grafo de comportamento de entidades e interações, estabelece padrões de comportamento normal e apresenta visualizações interativas com aproximadamente um ano de histórico. O GuardDuty detecta; o Detective investiga a causa raiz e o escopo.