从 GuardDuty 发现结果进行关联分析

调查通常从警报开始。侦测服务与 GuardDuty 深度集成，因此您可以直接从调查结果切换到行为图。只需单击一次，您就能从“出现了问题”进入包含该调查结果所有相关信息的丰富上下文视图。

在 GuardDuty 和 Security Hub 中，调查结果包含在侦测服务中调查操作。选择该操作后，侦测服务会聚焦于调查结果中的实体，例如受影响的实例、IAM 角色或远程 IP。相关上下文会预先加载，从而节省设置时间。

切换后，您会进入一个实体配置文件页面，其中汇总了某个实体的活动，包括其典型行为、近期变化和连接关系。例如，从调查结果中的实例进入后，您可以立即看到其 API 调用量、网络活动和任何异常。

从一个实体出发，您可以切换到相关实体：联系过该实例的 IP、使用其凭证的角色，或攻击者接触过的其他资源。每次切换都会扩展整体图景，让您能够逐步追踪攻击者在环境中的路径。

一个核心目标是确定爆炸半径：攻击者还接触了哪些对象？侦测服务的关联图会显示受影响的是单个实例，还是凭证已经扩散到其他资源。这个范围判断决定了遏制措施需要覆盖多广。

切换实体还可以帮助您判断调查结果是否为真阳性。如果相关活动符合已知的良性模式，您就可以有把握地排除该调查结果。如果它揭示出更多可疑行为，则应升级处理。无论哪种情况，您都应依据证据采取行动，而不是凭猜测。

当您进行切换调查时，侦测调查服务会显示调查结果时间窗口附近的活动，并将其与实体的历史基线进行比较。如果您看到某个活动峰值恰好在调查结果触发时开始，就更能证明该调查结果标记的是真实入侵。

通过组织集成，切换调查可以跟踪跨账户的活动。如果遭入侵的凭证曾在第二个账户中使用，侦测调查服务可以在同一图表中显示这项活动。这一点非常重要，因为攻击者经常会在账户之间横向移动。

切换调查无需手动关联日志，因此可以将调查时间从数小时压缩到数分钟。更快了解情况意味着更快遏制威胁，从而直接限制损害。考试将侦测调查服务描述为连接 GuardDuty 告警与有效响应之间的加速器。

“在侦测调查服务中调查”操作并不局限于 GuardDuty。来自 GuardDuty 的安全中心调查结果也提供此切换入口，因此分析师在分类处理聚合仪表板中的内容时，可以直接跳转到行为图表。这意味着中央控制台与调查工具可以直接连接，让“检测—聚合—调查”流程保持顺畅。

侦测调查服务可以将相关调查结果聚类为调查结果组，自动把调查结果、实体以及连接它们的活动关联起来，形成一个可调查的单元。您不必从单个调查结果开始切换调查，而是可以从一个已经讲述完整协同事件的组开始。这种方式能够展示整个事件，而不是一次只处理一个告警，从而加快调查速度。

跟踪调查工作流程。

侦测调查服务通过“在侦测调查服务中调查”操作与 GuardDuty 集成。切换调查会打开实体配置文件，让您跟踪相关实体以确定影响范围，将活动与时间感知基线进行比较，并且可以跟踪跨账户的横向移动。这样，调查结果就能转化为快速、基于证据的调查与响应。