Как Detective строит граф поведения

Обнаружение сообщает, что что-то не так, а расследование помогает понять, что произошло на самом деле. Amazon Detective — это сервис, созданный для расследований. Он автоматически анализирует активность и строит визуальную модель, чтобы Вы могли понять полную картину, связанную с обнаружением, а не только увидеть оповещение.

Detective непрерывно получает и связывает данные журналов, чтобы построить граф поведения во времени. Вместо ручного сопоставления журналов разных сервисов Вы получаете готовое изображение, доступное для запросов, которое показывает, как взаимодействовали такие сущности, как учётные записи, экземпляры и IP-адреса.

Основная конструкция — граф поведения: узлы представляют сущности (например, роли IAM, экземпляры EC2, IP-адреса и учётные записи), а рёбра — взаимодействия и действия между ними. Граф фиксирует обычные базовые показатели и отклонения, предоставляя расследующим специалистам карту вместо необработанных журналов.

Detective строит граф на основе тех же типов телеметрии, что используются для обнаружения: управляющих событий CloudTrail, журналов потоков VPC и обнаружений GuardDuty, а также журналов аудита EKS. Сложное сопоставление выполняется автоматически, поэтому Вам не нужно собирать эти источники вручную.

Как и GuardDuty, Detective работает без агентов и полностью управляется сервисом. Вы включаете его, после чего он получает необходимые данные; Вам не нужно создавать конвейеры журналов или хранилища. Кроме того, сервис сохраняет связанную активность примерно за год, обеспечивая длительный период ретроспективного анализа без необходимости самостоятельно управлять хранением.

Detective использует машинное обучение и статистику, чтобы определить, что является нормальным для каждой сущности, а затем выделяет отклонения. Знание базовой линии позволяет расследующему специалисту заметить, например, что экземпляр внезапно выполнил гораздо больше вызовов API, чем обычно, — это сильный признак компрометации.

Граф представлен в виде интерактивных визуализаций: временных шкал, профилей каждой сущности и диаграмм активности. Аналитик переходит по связанным сущностям, следуя по цепочке событий. Такой визуальный подход превращает многочасовой поиск по журналам в пошаговое исследование.

Важно различать эти задачи: GuardDuty обнаруживает, а Detective расследует. GuardDuty создаёт обнаружение, а Detective помогает определить его масштаб, первопричину и последствия. Эти сервисы дополняют друг друга; на экзамене следует выбирать Detective, когда требуется расследование и анализ первопричины.

Detective интегрируется с AWS Organizations и поддерживает делегированного администратора, поэтому учётная запись безопасности может расследовать активность во всех учётных записях участников в одном графе поведения. Это соответствует работе GuardDuty и Security Hub и обеспечивает единообразное управление несколькими учётными записями.

Detective хранит в графе поведения примерно год связанной активности, что значительно дольше стандартного срока хранения обнаружений GuardDuty. Такой длительный период ретроспективного анализа позволяет выяснить, началось ли подозрительное поведение несколько недель назад, и выявить медленные скрытные вторжения, которые остались бы незамеченными при коротком периоде. Расширенная история — одна из причин, по которым Detective дополняет обнаружение, а не дублирует его.

Практическая деталь: перед включением Detective необходимо, чтобы GuardDuty был включён в течение определённого периода (примерно 48 часов). Это связано с тем, что Detective использует обнаружения GuardDuty и ту же базовую телеметрию для создания графа поведения. Эти два сервиса предназначены для совместной работы: обнаружение предоставляет данные для расследования.

Detective — управляемый сервис расследований, работающий без агентов. Он связывает CloudTrail, журналы потоков VPC, обнаружения GuardDuty и журналы аудита EKS в граф поведения сущностей и взаимодействий, определяет базовую линию обычного поведения и предоставляет интерактивные визуализации примерно с годом ретроспективных данных. GuardDuty обнаруживает, а Detective расследует первопричину и масштаб.