A Nimbus Games já tem o Amazon GuardDuty e o Amazon Detective habilitados em todas as contas. Um achado do GuardDuty indica Backdoor:EC2/C&CActivity.B em uma função de instância. O líder de IR quer entender rapidamente as chamadas de API relacionadas feitas por essa função, os pares de rede recentes e as conexões falhas versus bem-sucedidas sem criar consultas personalizadas. O que o líder deve usar primeiro?

A opção correta é abrir o Amazon Detective e pivotar o achado. O Amazon Detective foi projetado para analisar, investigar e identificar rapidamente a causa raiz de achados de segurança, como os do GuardDuty. Ele agrega e analisa automaticamente dados de logs de fontes como CloudTrail, VPC Flow Logs e GuardDuty, criando um gráfico de comportamento unificado. Ao pivotar o achado do GuardDuty para o perfil da entidade (função ou instância) no Detective, o líder de IR pode visualizar de forma imediata e interativa as chamadas de API relacionadas, os pares de rede e as conexões, sem a necessidade de criar consultas personalizadas. As outras opções são menos eficientes ou não atendem diretamente aos requisitos: O AWS Security Hub fornece insights agregados, mas não oferece a capacidade de investigação profunda e visualização interativa de dados de logs como o Detective. Criar um armazenamento de dados no CloudTrail Lake e consultar separadamente os VPC Flow Logs no Athena exigiria a criação de consultas personalizadas e não forneceria a visão correlacionada e interativa que o Detective oferece. As linhas do tempo de recursos do AWS Config mostram alterações na configuração dos recursos, mas não fornecem a análise detalhada de chamadas de API e fluxos de rede de segurança que o Detective oferece.