В Nimbus Games уже включены Amazon GuardDuty и Amazon Detective для всех аккаунтов. Обнаружение GuardDuty указывает на Backdoor:EC2/C&CActivity.B на роли инстанса. Руководитель группы реагирования на инциденты (IR) хочет быстро понять связанные вызовы API, сделанные этой ролью, недавние сетевые пиры и неудачные/успешные соединения без создания пользовательских запросов. Что руководитель должен использовать в первую очередь?

Amazon Detective автоматически агрегирует и анализирует данные из GuardDuty, CloudTrail и VPC Flow Logs, создавая профили сущностей. Переход от обнаружения GuardDuty к профилю сущности в Detective позволяет быстро визуализировать связанные вызовы API, сетевые пиры и попытки соединений без необходимости создавать пользовательские запросы. Это соответствует требованию руководителя группы IR о быстром понимании контекста. AWS Security Hub агрегирует результаты, но не предоставляет такой глубокой аналитики и визуализации связей, как Detective. CloudTrail Lake и Athena требуют создания пользовательских запросов, что противоречит требованию о быстром анализе без запросов. AWS Config отслеживает изменения конфигурации, а не активность API или сетевые соединения в реальном времени, и не связывает их с обнаружениями GuardDuty таким образом.