安全调查与威胁分析 - 用 Amazon Detective 实现高效事件响应
解析利用 Amazon Detective 进行安全事件调查和威胁分析的方法。介绍与 GuardDuty 联动的从检测到调查的工作流，以及基于图的分析定位根本原因的方法。
安全调查的挑战与 Detective 概述
安全事件发生时，迅速定位根本原因极为重要。然而，横跨 VPC 流日志、CloudTrail 日志、GuardDuty 检测结果等多个数据源的分析工作耗时且需要高度专业知识。Amazon Detective 利用机器学习、统计分析和图论自动收集分析安全数据，迅速定位事件根本原因。从 GuardDuty、Security Hub 等 AWS 安全服务的检测结果出发，自动关联相关资源、IP 地址和用户活动。本地 SIEM 工具需要大量工时进行日志收集、标准化和关联分析规则设置，Detective 将这些自动化，让安全分析师专注于调查。Detective 通过基于图的可视化，无需编写查询即可直观追踪实体间的关系。
基于图的分析与行为画像
Detective 的核心技术是图数据库，以图结构表示 AWS 资源、IP 地址、IAM 用户、API 调用间的关系。这个行为图 (Behavior Graph) 从最多 12 个月的日志数据自动构建，学习正常行为模式作为基线。检测到异常行为模式时，可在图上视觉追踪相关实体 (资源、用户、IP 地址)，迅速把握攻击路径和影响范围。例如检测到可疑 API 调用时，将执行该调用的 IAM 角色、承担角色的 EC2 实例、连接实例的 IP 地址作为一系列关系可视化。通过时间序列分析，确认特定期间的 API 调用量、网络流量、登录模式变化，精确定位事件发生时间和影响期间。以下是用 AWS CLI 获取 Detective 行为图列表的示例。 ```bash aws detective list-graphs \ --region ap-northeast-1 ``` 要确认特定成员账户的调查状况，使用以下命令。 ```bash aws detective list-members \ --graph-arn arn:aws:detective:ap-northeast-1:123456789012:graph:example \ --region ap-northeast-1 ```
GuardDuty 联动与事件响应工作流
Detective 与 GuardDuty 的联动实现从威胁检测到调查的无缝工作流。GuardDuty 检测到可疑活动时，Detective 自动汇聚与该检测结果相关的所有实体和活动。可从 GuardDuty 控制台直接跳转到 Detective 的调查界面，立即开始检测结果的详细分析。Detective 的调查摘要功能自动汇总与检测结果相关的关键信息 (受影响资源、相关 IP 地址、API 调用时间序列)，提供调查起点。与 Security Hub 集成，集中管理多个安全服务的检测结果，无缝过渡到 Detective 的详细调查。与 Organizations 集成，将多账户环境全体的安全数据汇聚到单一行为图，可检测和调查跨账户的攻击模式。 要全面学习安全调查的最佳实践，可参考相关技术书籍 (Amazon)。
自动调查与威胁情报的活用
Detective 的自动调查功能对 IAM 用户或 IAM 角色执行全面的安全评估。分析指定实体的过去活动，自动检测偏离正常模式的行为、可疑 API 调用、异常网络连接并生成报告。与威胁情报源集成，自动标记与已知恶意 IP 地址或域名的通信。调查结果按重要度分类，明确安全分析师应优先处理的项目。与 CloudWatch 指标联动，监控 Detective 的使用情况和数据导入量，也可用于成本管理。结合 Lambda 函数和 EventBridge，可实现对特定检测模式的自动响应。以下是用 EventBridge 规则将 GuardDuty 的 High 重要度检测结果转发到 Lambda 的设置示例。 ```json { "source": ["aws.guardduty"], "detail-type": ["GuardDuty Finding"], "detail": { "severity": [{ "numeric": [">=", 7] }] } } ``` 通过此设置，可实现安全组变更、IAM 策略限制、SNS 通知发送等自动响应，自动化事件响应的初始行动。
Detective 的费用
Detective 的费用按导入数据量计费。前 1,000 GB/月每 GB 约 2.00 美元，接下来 9,000 GB 约 1.00 美元。数据源为 CloudTrail 日志、VPC 流日志、GuardDuty 检测结果，成本随这些日志量变动。可通过 30 天免费试用确认实际成本后再正式导入。作为高效调查 GuardDuty 检测结果的投资，与事件响应时间缩短效果比较后判断。
总结 - 安全调查基础设施的构建指南
Amazon Detective 是利用基于图的分析和机器学习迅速定位安全事件根本原因的服务。与 GuardDuty 联动的从检测到调查的无缝工作流、行为图的实体间关系可视化、自动调查功能的全面安全评估，大幅提升事件响应效率。与 Organizations 集成的多账户环境统一调查，以及与威胁情报源联动的已知威胁自动检测，有助于强化组织整体的安全态势。