Amazon Detective 专业2020年〜

自动分析安全检测结果并调查根本原因的服务

阅读约需 1 分钟最后更新： 2026-04-01

它能做什么

Amazon Detective 是一项自动收集和分析 AWS 环境中的日志数据，帮助安全团队调查安全事件根本原因的服务。自动从 CloudTrail、VPC Flow Logs、GuardDuty 等来源收集数据，使用图分析和机器学习构建行为模型，可视化资源间的关系和活动时间线。

使用场景

用于 GuardDuty 检测结果的深入调查、可疑 IAM 活动的根本原因分析、异常网络流量的来源追踪、安全事件的影响范围评估、合规调查中的证据收集等。帮助安全团队从“发生了什么”快速推进到“为什么发生”和“影响范围有多大”。

日常类比

可以将其比作侦探的调查工具。GuardDuty 像是报警器，告诉您“有可疑活动”。Detective 则像侦探的调查板，将所有线索（日志数据）整理成时间线和关系图，帮助您追踪嫌疑人（攻击者）的行动轨迹，找出事件的来龙去脉。

什么是 Detective

Amazon Detective 是一项安全调查服务，帮助分析和可视化安全事件的根本原因。当 GuardDuty 或 Security Hub 检测到安全问题时，安全团队需要调查“这是怎么发生的”“影响了哪些资源”“攻击者做了什么”。Detective 自动收集和关联相关数据，大幅缩短调查时间。

数据收集与分析

Detective 自动从 CloudTrail 日志、VPC Flow Logs、GuardDuty 检测结果、EKS 审计日志等来源持续收集数据。使用图数据库存储资源间的关系，使用机器学习建立正常行为基线。当需要调查时，可以快速查看特定资源或 IP 地址的完整活动历史。

可视化与调查

Detective 提供多种可视化工具辅助调查。行为图显示资源间的交互关系。活动时间线显示特定实体在特定时间段的所有活动。地理位置图显示 API 调用的来源地。异常高亮显示偏离正常模式的活动。从 GuardDuty 检测结果可以一键跳转到 Detective 开始调查。关于安全调查的方法，也可以参考相关书籍（Amazon）。

开始使用

在 Detective 控制台中启用服务。Detective 会自动开始从 CloudTrail 和 VPC Flow Logs 收集数据（需要先启用这些服务）。数据积累约 2 周后，行为基线建立完成，即可开始有效的调查。建议同时启用 GuardDuty，以便从检测结果直接跳转到 Detective 进行调查。