Amazon Detective
Servicio que recopila y analiza automáticamente VPC Flow Logs, CloudTrail y hallazgos de GuardDuty para agilizar la investigación de la causa raíz de incidentes de seguridad
Descripción general
Amazon Detective es un servicio que recopila automáticamente datos de logs del entorno AWS, construye un modelo de grafos y asiste en la investigación y análisis de causa raíz de incidentes de seguridad. Analiza de forma integrada VPC Flow Logs, eventos de gestión de CloudTrail, hallazgos de GuardDuty y logs de auditoría de EKS, visualizando las relaciones entre direcciones IP, principales IAM y cuentas de AWS. Mediante análisis de línea base con machine learning, detecta desviaciones de los patrones de comportamiento normales y apoya la priorización de investigaciones.
Innovación en investigación de seguridad mediante modelo de grafos
En la investigación de seguridad tradicional, era necesario consultar logs de CloudTrail con Athena, analizar VPC Flow Logs por separado y correlacionar manualmente con los hallazgos de GuardDuty. Detective ingiere automáticamente estas fuentes de datos y construye una base de datos de grafos con las relaciones entre entidades (direcciones IP, usuarios IAM, roles, instancias EC2, etc.). Por ejemplo, investigaciones como "¿desde qué instancia EC2 se hizo AssumeRole del rol IAM que realizó llamadas API sospechosas?" o "¿con qué direcciones IP se comunicaba esa instancia?" se pueden ejecutar intuitivamente como recorridos del grafo. La ingesta y análisis de datos están completamente automatizados, sin necesidad de que el usuario escriba consultas o diseñe índices. Detective retiene hasta 12 meses de datos, permitiendo también análisis de correlación con eventos pasados.
Flujo de investigación desde hallazgos de GuardDuty
El patrón de uso más común de Detective es la investigación profunda de amenazas de seguridad detectadas por GuardDuty. Al seleccionar un hallazgo en la consola de GuardDuty y hacer clic en "Investigar en Detective", se navega directamente a la página de perfil de la entidad relacionada. En la página de perfil se muestran en línea de tiempo y grafos los patrones de llamadas API pasadas de esa entidad, el volumen de comunicaciones de red y la distribución geográfica de los orígenes de acceso. Mediante la comparación con la línea base de machine learning, se pueden identificar inmediatamente anomalías como "un rol que normalmente solo accede desde la región de Tokio ejecutó repentinamente un gran número de S3 GetObject desde la región de Virginia". Libros relacionados con investigación de seguridad en la nube (Amazon) explican enfoques sistemáticos de respuesta a incidentes. Los resultados de investigación se pueden mostrar como Finding Groups que agrupan hallazgos relacionados, visualizando que múltiples alertas de GuardDuty pertenecen en realidad a la misma campaña de ataque.
Operación multi-cuenta y optimización de costos en la práctica
En entornos de Organizations, se recomienda una configuración donde la cuenta administradora de Detective agregue y analice los datos de las cuentas miembro. Al igual que GuardDuty, se puede configurar un administrador delegado, permitiendo realizar investigaciones de seguridad de toda la organización de forma centralizada desde una cuenta dedicada del equipo de seguridad. Al agregar nuevas cuentas miembro, la ingesta de datos se inicia automáticamente, minimizando la carga operativa. En cuanto a costos, la tarificación de Detective se basa en el volumen de datos ingeridos. En entornos con grandes volúmenes de VPC Flow Logs y CloudTrail, los costos pueden aumentar, por lo que es necesario considerar la exclusión de fuentes de datos innecesarias o la configuración de muestreo de VPC Flow Logs. Se ofrece una prueba gratuita de 30 días, durante la cual se puede verificar el volumen real de datos y costos antes de decidir la implementación en producción. Detective también se integra con Security Hub, permitiendo construir flujos de trabajo que navegan directamente desde los hallazgos de Security Hub a la pantalla de investigación de Detective. Combinando los tres servicios GuardDuty, Security Hub y Detective, se completa el flujo de operaciones de seguridad de detección → priorización → investigación.