Nimbus Games a déjà activé Amazon GuardDuty et Amazon Detective sur tous les comptes. Une constatation GuardDuty indique Backdoor:EC2/C&CActivity.B sur un rôle d'instance. Le responsable de la réponse aux incidents souhaite comprendre rapidement les appels d'API associés effectués par ce rôle, les pairs réseau récents, et les connexions échouées par rapport aux connexions réussies sans créer de requêtes personnalisées. Que devrait utiliser le responsable en premier lieu ?

La bonne réponse est d'ouvrir Amazon Detective et de pivoter sur la constatation vers le profil d'entité du rôle ou de l'instance. Amazon Detective est conçu pour analyser et visualiser automatiquement les données de journaux provenant de GuardDuty, CloudTrail et des journaux de flux VPC, ce qui permet de comprendre rapidement les activités d'API, les pairs réseau et les tentatives de connexion sans requêtes personnalisées. Les autres options sont moins efficaces : AWS Security Hub agrège les résultats, mais ne fournit pas l'analyse comportementale approfondie de Detective sans requêtes supplémentaires. Créer un magasin de données d'événements CloudTrail Lake et interroger séparément les journaux de flux VPC dans Athena nécessiterait des requêtes personnalisées et une corrélation manuelle, ce qui est plus long. Les chronologies des ressources AWS Config se concentrent sur les changements de configuration et ne fournissent pas une analyse comportementale détaillée des appels d'API et des connexions réseau comme Detective.