Amazon Detective でセキュリティインシデントを調査 - グラフ分析による根本原因の特定
Detective による GuardDuty 検出結果の調査、エンティティプロファイル、行動グラフの活用を解説します。
Detective の概要
Detective はセキュリティの検出結果を自動分析し、根本原因を調査するサービスです。GuardDuty が「不審な API 呼び出しを検出」と通知した後、「誰が、いつ、どこから、何をしたか」を深掘りする調査フェーズを支援します。CloudTrail、VPC Flow Logs、GuardDuty の検出結果を自動集約し、行動グラフで異常パターンを可視化します。
行動グラフとエンティティプロファイル
行動グラフは CloudTrail、VPC Flow Logs、GuardDuty の検出結果を自動集約し、エンティティ (IAM ユーザー、ロール、EC2、IP アドレス) 間の関連性をグラフデータベースに構築します。エンティティプロファイルは特定の IAM ユーザーや EC2 インスタンスの過去 12 か月の行動パターン (API 呼び出し頻度、通信先 IP、データ転送量) をベースラインとして保持し、異常な活動をハイライトします。GuardDuty の検出結果から Detective にピボットすると、関連するエンティティの行動タイムラインが表示され、不正アクセスの経路を追跡できます。
調査ワークフロー
Detective の調査ワークフローは GuardDuty の検出結果から開始します。検出結果をクリックすると、関連する IAM ロール、 EC2 インスタンス、 IP アドレスのエンティティプロファイルが表示されます。プロファイルには過去 12 か月の API コールパターン、ネットワーク接続、地理的な接続元が時系列で可視化されます。「このロールが通常アクセスしないサービスに突然アクセスした」「通常と異なる IP アドレスからの接続が増加した」といった異常パターンを視覚的に特定できます。 Investigation 機能で調査の範囲を自動的に拡大し、関連するエンティティを芋づる式に追跡します。 セキュリティ調査に関する詳しい解説はAmazon の関連書籍でも確認できます。
Detective の料金
Detective の料金は取り込んだデータ量で課金されます。CloudTrail 管理イベントは 1 GB あたり約 2 ドル、VPC Flow Logs は 1 GB あたり約 0.75 ドルです。最初の 30 日間は無料トライアルで、実際のコストを事前に見積もれます。Organizations との統合で全アカウントのデータを集約する場合、データ量が大きくなるため、コストを事前に確認します。GuardDuty のデータを主要なソースとして使用し、VPC Flow Logs の取り込みはセキュリティ要件に応じて有効化します。
まとめ
Detective は行動グラフとエンティティプロファイルでセキュリティインシデントの根本原因を調査するサービスです。GuardDuty の検出結果から調査を開始し、CloudTrail と VPC Flow Logs のデータを自動集約して、過去 12 か月の API コールパターンやネットワーク接続の異常を時系列で可視化します。