Nimbus Games hat Amazon GuardDuty und Amazon Detective bereits für alle Konten aktiviert. Ein GuardDuty-Ergebnis zeigt Backdoor:EC2/C&CActivity.B auf einer Instance-Rolle an. Der IR-Leiter möchte schnell die zugehörigen API-Aufrufe dieser Rolle, die jüngsten Netzwerk-Peers und fehlgeschlagene im Vergleich zu erfolgreichen Verbindungen verstehen, ohne benutzerdefinierte Abfragen zu erstellen. Was sollte der Leiter zuerst verwenden?

Die korrekte Antwort ist, Amazon Detective zu öffnen und zum Entitätsprofil der Rolle oder Instanz zu wechseln. Detective ist speziell dafür konzipiert, Sicherheitsergebnisse wie das GuardDuty-Ergebnis zu untersuchen. Es aggregiert und analysiert automatisch Daten aus GuardDuty, CloudTrail und VPC Flow Logs, um interaktive Visualisierungen von Entitätsverhalten und Beziehungen zu erstellen. Dies ermöglicht es dem IR-Leiter, ohne benutzerdefinierte Abfragen schnell die API-Aufrufe, Netzwerk-Peers und Verbindungsinformationen zu verstehen, die mit der betroffenen Rolle oder Instanz verbunden sind. AWS Security Hub Insights sind aggregierte Ansichten von Sicherheitsergebnissen, bieten aber nicht die tiefgehende forensische Analyse und Visualisierung von Beziehungen, die Detective bietet. Das Erstellen eines CloudTrail Lake-Ereignisdatenspeichers und separate Abfragen in Athena erfordern benutzerdefinierte Abfragen und sind nicht die schnellste Methode, um die gewünschten Informationen zu erhalten. AWS Config-Ressourcen-Timelines zeigen Konfigurationsänderungen an, bieten aber keine detaillierte Analyse von API-Aufrufen oder Netzwerk-Peers im Kontext eines Sicherheitsvorfalls.