Amazon Detective
セキュリティの検出結果を自動分析し、根本原因を調査するサービス
何ができるか
Amazon Detective は、AWS 環境で発生したセキュリティインシデントの根本原因を調査・分析するサービスです。VPC Flow Logs、CloudTrail ログ、GuardDuty の検出結果などを自動的に収集・統合し、グラフデータベースを構築します。セキュリティアナリストは、視覚的なダッシュボードを通じて、不審なアクティビティの関連性や影響範囲を素早く把握できます。
どのような場面で使うか
GuardDuty が検出した不審な API 呼び出しの詳細調査、IAM ユーザーやロールの異常な行動パターンの分析、EC2 インスタンスからの不審な通信の追跡などに利用されています。セキュリティインシデント発生時に「誰が、いつ、何をしたか」を迅速に特定し、対応の優先順位を判断する場面で効果を発揮します。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
刑事ドラマの捜査ボードに例えるとわかりやすいでしょう。事件 (セキュリティインシデント) が発生すると、Detective は関連する証拠 (ログデータ) を自動的に収集し、人物関係図 (リソースの関連性) を作成します。捜査官 (セキュリティアナリスト) はボードを見ながら、犯人 (攻撃者) の行動を時系列で追跡できます。
Detective とは
Amazon Detective は、セキュリティインシデントの調査を支援するサービスです。AWS 環境では日々膨大なログが生成されますが、セキュリティ上の問題が発生した際に、これらのログを手作業で調査するのは非常に時間がかかります。Detective はログデータを自動的に収集・分析し、視覚的にわかりやすい形で提示することで、調査時間を大幅に短縮します。
データソースと分析
Detective は、CloudTrail の管理イベント、VPC Flow Logs、GuardDuty の検出結果、EKS 監査ログなどを自動的に取り込みます。これらのデータをグラフデータベースに統合し、リソース間の関連性を構築します。たとえば、ある IAM ユーザーがどの EC2 インスタンスにアクセスし、そのインスタンスがどの IP アドレスと通信したかを、一連の流れとして可視化できます。
GuardDuty との連携
Detective は GuardDuty と密接に連携しています。GuardDuty が脅威を検出すると、Detective はその検出結果をワンクリックで詳細調査できます。GuardDuty が「不審な API 呼び出しを検出」と報告した場合、Detective でその API 呼び出しの前後のアクティビティ、関連するリソース、通常時との行動パターンの違いなどを確認できます。
はじめかた
Detective を使い始めるには、Detective コンソールで有効化するだけです。GuardDuty が有効になっている必要があります。有効化すると、過去のログデータの取り込みが自動的に開始されます。データの蓄積には数時間かかりますが、蓄積が完了すれば、検出結果やリソースを選択して調査を開始できます。
注意点
- Detective を有効化する前に GuardDuty を有効にしておく必要がある。GuardDuty の検出結果が Detective の主要なデータソースとなる
- ログデータの取り込み量に応じた従量課金のため、大規模環境ではコストを事前に見積もること
- Detective は調査・分析ツールであり、脅威の検出は GuardDuty、対応の自動化は Security Hub が担当する。3 つのサービスを組み合わせて使うのが効果的
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
