本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# Detective 如何用於調查
<a name="detective-investigation-about"></a>

Amazon Detective 會簡化分析、調查並快速識別安全調查結果或可疑活動的根本原因。Detective 提供支援整體調查程序的工具。Detective 中的調查能夠以調查結果、調查結果群組或實體作為起點。

## Detective 中的調查階段
<a name="how-detective-enables-investigation.title"></a>

任何 Detective 調查程序都涉及下列階段：

****分類****  
當您收到有關可疑惡意或高風險活動執行個體的通知時，調查程序便會啟動。例如，您會被分配到查看透過 Amazon GuardDuty 和 Amazon Inspector 等服務所發現的調查結果或警報。  
在分類階段，您可以判斷您是否認為該活動是真陽性 (真正的惡意活動) 還是偽陽性 (非惡意或高風險活動)。Detective 設定檔透過為涉及的實體提供活動的見解來支援分類程序。  
針對真陽性執行個體，您將繼續下一個階段。

****範圍設定****  
在範圍設定階段，分析師會判斷惡意或高風險活動的程度以及根本原因。  
範圍設定可回答以下類型的問題：  
+ 哪些系統和使用者遭到入侵？
+ 攻擊起源於何處？
+ 攻擊的持續時間？
+ 是否還存在其他待發現的相關活動？ 例如，如果攻擊者從您的系統中擷取資料，他們會如何取得？
Detective 視覺化可協助您識別所涉或受影響的其他實體。

**回應**  
最後一步是對攻擊做出回應，以阻止攻擊，最大程度地減少傷害，並防止類似的攻擊再次發生。

## Detective 調查的起點
<a name="investigation-starting-points"></a>

每次 Detective 調查都有重要的起點。例如，您可能會獲指派要調查的 Amazon GuardDuty 或 AWS Security Hub CSPM 調查結果。或者，您可能會擔心特定 IP 地址的異常活動。

調查的常用起點包括 GuardDuty 偵測到的調查結果，以及從 Detective 來源資料擷取的實體。

### GuardDuty 偵測到的調查結果
<a name="investigation-findings-detected-gdu"></a>

GuardDuty 使用您的日誌資料來發現惡意或高風險活動的可疑執行個體。Detective 會提供資源以幫助您調查此類調查結果。

Detective 會針對各調查結果提供相關的調查結果詳細資訊。Detective 也會顯示連線至調查結果的實體，例如 IP 地址和 AWS 帳戶。

然後，您可以探索涉及的實體的活動，以確定從調查結果中偵測到的活動是否為真正引起關注的原因。

如需詳細資訊，請參閱[分析 Detective 中的調查結果概觀](finding-overview.md)。

### AWS Security Hub CSPM 彙總的安全性調查結果
<a name="investigation-findings-detected-sechub"></a>

AWS Security Hub CSPM 會在單一位置彙總來自各種問題清單提供者的安全性問題清單，並為您提供安全狀態的完整檢視 AWS。Security Hub CSPM 消除了處理來自多個供應商的大量調查結果的複雜性。它減少了管理和改善所有 AWS 帳戶、資源和工作負載安全性所需的工作量。Detective 會提供資源以幫助您調查此類調查結果。

Detective 會針對各調查結果提供相關的調查結果詳細資訊。Detective 也會顯示連線至調查結果的實體，例如 IP 地址和 AWS 帳戶。

如需詳細資訊，請參閱[分析 Detective 中的調查結果概觀](finding-overview.md)。

### 從 Detective 來源資料擷取的實體
<a name="investigation-entity-extracted"></a>

Detective 會從擷取的 Detective 來源資料擷取實體，例如 IP 地址和 AWS 使用者。您可以使用其中一個作為調查起點。

Detective 提供有關實體的一般詳細資訊，例如 IP 地址或使用者名稱。它還提供活動歷史記錄的詳細資訊。例如，Detective 可以報告實體已連線、曾連線或使用的其他 IP 地址。

如需詳細資訊，請參閱[分析 Amazon Detective 中的實體](entity-profiles.md)。

## Detective 調查流程
<a name="detective-investigation-flow"></a>

您可以使用 Amazon Detective 調查實體，例如 EC2 執行個體或 AWS 使用者。您也可以調查安全調查結果。

在高階，下圖顯示 Detective 調查的程序。

![顯示 Detective 調查程序的圖表。](http://docs.aws.amazon.com/zh_tw/detective/latest/userguide/images/diagram_investigation_flow_entity.png)


**步驟 1：選取要調查的實體**  
在查看 GuardDuty 中的調查結果時，分析師可以選擇在 Detective 中調查相關實體。請參閱 [從 Amazon GuardDuty 或 樞紐至實體設定檔或調查結果概觀 AWS Security Hub CSPM](navigate-to-profile.md#profile-pivot-from-service)。  
選取實體後，系統將帶您前往 Detective 中的實體設定檔。

**步驟 2：分析設定檔的視覺化**  
每個實體設定檔都包含一組從行為圖表產生的視覺化。行為圖表根據輸入至 Detective 的日誌檔案和其他資料建立。  
視覺化會顯示與實體相關的活動。您可以使用此類視覺化來回答問題，以判斷實體活動是否存在異常。請參閱 [分析 Amazon Detective 中的實體](entity-profiles.md)。  
為了幫助指導調查，您可以使用為每個視覺化提供的 Detective 指南。該指南概述了顯示的資訊，建議您要提出的問題，並根據答案提出後續步驟。請參閱 [在調查期間使用設定檔面板指引](profile-panel-drilldown-kubernetes-api-volume.md#profile-panel-guidance)。  
每個設定檔都包含相關聯調查結果的清單。您可以檢視調查結果的詳細資訊，以及檢視調查結果概觀。請參閱 [在 Detective 中檢視相關調查結果的詳細資訊](entity-finding-list.md)。  
從實體設定檔中，您可以錨定至其他實體和調查結果設定檔，以進一步調查相關資產的活動。

**步驟 3：採取動作**  
根據調查的結果，採取適當動作。  
若調查結果為假陽性，則可將該調查結果封存。在 Detective 中，您可以存檔 GuardDuty 的調查結果。如需詳細資訊，請參閱[封存 Amazon GuardDuty 調查結果](https://docs.aws.amazon.com//detective/latest/userguide/finding-update-status.html)。  
否則，您應採取適當動作來解決漏洞並減輕損害。例如，您可能需要更新資源的配置。