Nimbus Games tiene Amazon GuardDuty y Amazon Detective habilitados en todas las cuentas. Un hallazgo de GuardDuty indica Backdoor:EC2/C&CActivity.B en un rol de instancia. El líder de IR quiere comprender rápidamente las llamadas a la API relacionadas realizadas por ese rol, los pares de red recientes y las conexiones fallidas versus las exitosas sin crear consultas personalizadas. ¿Qué debería usar el líder primero?

Amazon Detective está diseñado para analizar automáticamente los hallazgos de seguridad, como los de GuardDuty, y presentar una vista unificada y contextualizada de la actividad. Al pivotar desde el hallazgo de GuardDuty al perfil de entidad del rol o instancia en Detective, el líder de IR puede ver instantáneamente las llamadas a la API de CloudTrail, los registros de flujo de VPC y otra telemetría correlacionada sin necesidad de consultas personalizadas. Esto responde directamente a la necesidad de comprender rápidamente la actividad relacionada y los patrones de red. Las otras opciones son menos eficientes o no cumplen con todos los requisitos: AWS Security Hub proporciona información consolidada, pero no ofrece la misma capacidad de análisis profundo y correlación automática que Detective sin consultas personalizadas. Crear un almacén de datos de eventos de CloudTrail Lake y consultar por separado los VPC Flow Logs en Athena requeriría la creación de consultas personalizadas y un esfuerzo manual considerable, lo cual el líder de IR desea evitar. AWS Config rastrea los cambios en la configuración de los recursos, no está optimizado para el análisis de actividad de API o patrones de red de seguridad como GuardDuty o Detective.