Amazon Detective
自动收集和分析 VPC Flow Logs、CloudTrail、GuardDuty 检测结果，提高安全事件根因调查效率的服务
概述
Amazon Detective 是一项自动收集 AWS 环境日志数据并构建图模型，支持安全事件调查和根因分析的服务。它综合分析 VPC Flow Logs、CloudTrail 管理事件、GuardDuty 检测结果和 EKS 审计日志，可视化 IP 地址、IAM 主体、AWS 账户之间的关系。通过机器学习的基线分析检测偏离正常行为模式的异常，辅助调查优先级排序。
图模型驱动的安全调查革新
传统的安全调查需要用 Athena 查询 CloudTrail 日志、单独分析 VPC Flow Logs、再手动与 GuardDuty 检测结果进行关联。Detective 自动摄取这些数据源，将实体 (IP 地址、IAM 用户、角色、EC2 实例等) 之间的关系构建为图数据库。例如，可以直观地执行「发起可疑 API 调用的 IAM 角色是从哪个 EC2 实例 AssumeRole 的」「该实例与哪些 IP 地址通信」等调查。数据的摄取和分析完全自动化，用户无需编写查询或设计索引。Detective 最多保留 12 个月的数据，支持与历史事件的关联分析。Microsoft Sentinel 也提供类似的安全分析平台。
从 GuardDuty 检测结果出发的调查工作流
Detective 的使用模式之一是对 GuardDuty 检测到的安全威胁进行深入调查。在 GuardDuty 控制台中选择检测结果并点击「在 Detective 中调查」，即可直接跳转到相关实体的配置文件页面。配置文件页面以时间线和图表形式显示该实体过去的 API 调用模式、网络通信量、访问来源的地理分布。通过与机器学习基线的比较，可以掌握「通常只从东京区域访问的角色突然从弗吉尼亚区域执行大量 S3 GetObject」等异常。调查结果可以作为 Finding Group 将相关检测结果汇总显示，显示多个检测结果可能与同一安全事件相关。
多账户运营与成本优化实务
在 Organizations 环境中，推荐由 Detective 管理员账户汇聚成员账户的数据进行分析。与 GuardDuty 类似，可以设置委托管理员，从安全团队的专用账户对整个组织进行统一的安全调查。组织中新增的账户只有在开启自动启用设置 (默认关闭) 后才会成为成员账户并开始摄取数据。在成本方面，Detective 按摄取的数据量进行按量计费。在 VPC Flow Logs 和 CloudTrail 数据量较大的环境中成本会增加。可选数据源包 (如 EKS 审计日志) 可随时启动或停止，核心数据源中的 CloudTrail 和 VPC Flow Logs 则通过独立于现有日志配置的数据流摄取。提供 30 天免费试用，可以在试用期间确认实际数据量和成本后再决定正式导入。Detective 还与 Security Hub CSPM 集成，可以从 Security Hub CSPM 中显示的 GuardDuty 检测结果直接跳转到 Detective 调查界面。结合 GuardDuty、Security Hub CSPM、Detective，可以构成检测 → 优先级排序 → 调查的安全运营流程。
参考资料（AWS 官方）
本页的第一手信息来源是 AWS 官方网站及官方文档。最新的规格与价格请以下列官方页面为准。
如本页内容与官方文档不一致，请以官方文档为准。