Detective 如何构建行为图

检测会告诉您出现了问题；调查则会告诉您实际发生了什么。Amazon 侦测服务是专为调查而构建的服务。它会自动分析活动并构建可视化模型，帮助您理解调查结果背后的完整经过，而不仅仅是看到警报。

侦测服务会持续摄取并关联日志数据，构建随时间变化的行为图。您不必手动关联各项服务中的日志，就可以获得一份预先构建且可查询的图景，了解账户、实例和 IP 地址等实体之间如何进行过交互。

其核心结构是行为图：节点代表实体（例如 IAM 角色、EC2 实例、IP 地址和账户），边代表实体之间的交互和活动。该图会记录正常基线和偏差，为调查人员提供一张地图，而不是一堆原始日志。

侦测服务使用与检测相同类型的遥测数据来构建行为图，包括 CloudTrail 管理事件、VPC Flow Logs 和 GuardDuty 调查结果，以及 EKS 审计日志。它会自动完成复杂的数据关联，因此您无需手动汇集这些数据源。

与 GuardDuty 一样，侦测服务也是无代理且完全托管的。启用后，它会提取所需数据；您无需构建日志管道或存储。它还会保留大约一年的关联活动，为调查提供较长的回溯时间，而无需您管理保留策略。

侦测服务使用机器学习和统计方法了解每个实体的正常行为，然后突出显示偏差。了解基线后，调查人员就能发现，例如某个实例突然发起了远多于平常的 API 调用，这通常是遭到入侵的强烈信号。

行为图以交互式可视化形式呈现，包括时间线、每个实体的配置文件和活动图表。分析人员可以逐一点击相关实体来跟踪线索。这种可视化方式将数小时的日志检索转变为有引导的探索。

一个关键区别是：GuardDuty 负责检测，侦测服务负责调查。GuardDuty 提出调查结果；侦测服务帮助您确定其范围、根本原因和影响。两者相辅相成；当需求是调查和根本原因分析时，考试希望您选择侦测服务。

侦测服务与 AWS Organizations 集成，并支持委派管理员，因此安全账户可以在一个行为图中调查所有成员账户的活动。这与 GuardDuty 和 Security Hub 的方式一致，便于执行统一的多账户操作。

侦测服务会在行为图中保留大约一年的关联活动，远远超过 GuardDuty 默认的调查结果保留时间。较长的回溯时间让调查人员能够查看可疑行为是否在数周前就已开始，从而发现短时间窗口可能遗漏的缓慢、隐蔽入侵。扩展的历史记录是侦测服务能够补充而非重复检测功能的重要原因。

有一个实际细节需要注意：在启用侦测服务之前，必须先启用 GuardDuty 一段时间（大约 48 小时）。这是因为侦测服务会使用 GuardDuty 调查结果和相同的底层遥测数据来初始化行为图。这两项服务旨在协同工作，由检测为调查提供数据。

区分检测与调查。

侦测服务是无代理的托管调查服务。它会将 CloudTrail、VPC Flow Logs、GuardDuty 调查结果和 EKS 审计日志关联起来，构建由实体及其交互组成的行为图，建立正常行为基线，并通过交互式可视化提供大约一年的回溯数据。GuardDuty 负责检测；侦测服务负责调查根本原因和影响范围。