Amazon Detective 的概念和术语

以下术语和概念对了解 Amazon Detective 及其工作原理来说很重要。

管理员账户

AWS 账户 拥有行为图并使用行为图进行调查的。

管理员账户邀请成员账户为行为图提供数据。有关更多信息，请参阅 邀请成员账号访问行为图。

对于组织行为图，管理员账户是组织管理账户指定的 Detective 管理员账户。有关更多信息，请参阅 为组织指定 Detective 管理员账户。Detective 管理员账户在组织行为图中选择要作为成员账户启用的组织账户。有关更多信息，请参阅 将组织账户作为成员账户管理。

管理员账户还可以查看行为图的数据使用情况，并从行为图中删除成员账户。

自治系统组织 (ASO)

被分配自治系统的有标题的组织。该自治系统是一个异构网络或一组使用类似路由逻辑和策略的网络。

行为图

一组由传入的源数据生成的关联数据集，该数据与一个或多个 AWS 账户相关联。

每个行为图都使用相同的调查发现、实体和关系结构。

委派管理员账号 (AWS Organizations)

在 Organizations 中，服务的授权管理员账户能够管理组织对服务的使用。

在 Detective 中，除非 Detective 管理员账户是组织管理账户，否则 Detective 管理员账户也是授权管理员账户。组织管理账户不能是授权管理员账户。

在 Detective 中，允许自行授权。组织管理账户可以将自己的账户委托给 Detective 的授权管理员，但这只能在 Detective 的范围内注册或记忆，而不能在组织范围内注册或记忆。

Detective 管理员账号

组织管理账户指定为区域中组织行为图的管理员账户的账户。有关更多信息，请参阅 为组织指定 Detective 管理员账户。

Detective 建议组织管理账户选择除其账户之外的账户。

如果该账户不是组织管理账户，则 Detective 管理员账户也是 Detective in Organizations 的授权管理员账户。

Detective 源数据

以下各类信息源中经过处理的结构化信息：

• 来自 AWS 服务的日志，例如 AWS CloudTrail 日志和 Amazon VPC 流日志

• GuardDuty 调查结果

Detective 使用 Detective 源数据填充行为图。为了支持 Detective 分析，Detective 还会存储 Detective 源数据的副本。

实体

从摄取的数据中提取的项目。

每个实体都有一个类型，用来标识它所代表的对象类型。实体类型的示例包括 IP 地址、Amazon EC2 实例和 AWS 用户。

实体可以是您管理的 AWS 资源，也可以是与您的资源交互的外部 IP 地址。

对于每个实体，源数据也用于填充实体属性。属性值可以直接从源记录中提取，也可以跨多个记录中汇总。

调查发现

Amazon 检测到一个安全问题 GuardDuty。

调查发现群组

可能与同一事件或安全问题相关的相关调查发现、实体和证据的集合。Detective 基于内置的机器学习模型生成调查发现群组。

Detective 证据

Detective 会根据您在过去 45 天内收集的行为图中的数据，识别与调查发现群组相关的其他证据。该证据作为一项调查发现提出，其严重性值为信息。证据提供了辅助信息，突出显示了在调查发现群组内可能可疑的异常活动或未知行为。新观察到的地理位置或在调查发现范围内观察到的 API 调用就是一个例子。目前，这些调查发现只能在 Detective 中查看，不会发送到 Security Hub。

查找概述

提供有关调查发现的信息摘要的单个页面。

调查发现概述包含调查发现所涉及的实体列表。您可以从列表转到某个实体的配置文件。

调查发现概述还包含一个详细信息面板，其中含有调查发现属性。

大批量实体

在一段时间间隔内与大量其他实体建立联系或从大量其他实体建立连接的实体。例如，一个 EC2 实例可能有来自数百万个 IP 地址的连接。连接数超过了 Detective 可以容纳的阈值。

当目前范围时间包含超长时间间隔时，Detective 会通知用户。

有关更多信息，请参阅《Amazon Detective 用户指南》中的查看大量实体的详细信息。

调查

对可疑或关注的活动进行分类，确定其范围，找出其根源或起因，然后确定如何继续进行调查。

成员账户

管理员账户邀请向行为图贡献数据。 AWS 账户 在组织行为图中，成员账户可以是 Detective 管理员账户作为成员账户启用的组织账户。

受邀成员账号可以回复行为图邀请，并从行为图中删除自己的账户。有关更多信息，请参阅 对于成员账号：管理行为图邀请和成员资格。

组织账户不能更改其在组织行为图中的会成员资格。

所有成员账户还可以查看其账户在其提供数据的行为图中的使用信息。

他们没有其他访问行为图的权限。

组织行为图

Detective 管理员账户拥有的行为图。组织管理账户指定 Detective 管理员账户。有关更多信息，请参阅 为组织指定 Detective 管理员账户。

在组织行为图中，Detective 管理员账户控制组织账户是否为成员账户。组织账户不能从组织行为图中删除自己。

Detective 管理员账户还可以邀请其他账户访问组织行为图。

配置文件

提供与实体活动相关的数据可视化集合的单个页面。

对于调查发现，配置文件有助于分析人员确定调查发现是真正令人担忧还是误报。

配置文件提供的信息可支持对调查发现的调查或对可疑活动的全面搜寻。

配置文件面板

配置文件上的单一可视化。每个配置文件面板都旨在帮助回答一个或多个特定的问题，以协助分析人员进行调查。

配置文件面板可包含键值对、表格、时间轴、条形图或地理位置图。

关系

在各个实体之间发生的活动。关系也是从传入的源数据中提取的。

与实体类似，关系也有一个类型，用于标识所涉及的实体类型和连接方向。关系类型的一个示例是连接到 Amazon EC2 实例的 IP 地址。

范围时间

用于确定配置文件上显示的数据范围的时间窗口。

调查发现的默认范围时间反映了观察到可疑活动的第一次和最后一次时间。

实体配置文件的默认范围时间是前 24 小时。