Caça a Ameaças Cloud-Native com AWS Detective

Visão Geral

O AWS Detective coleta e analisa automaticamente dados de log do AWS CloudTrail, VPC Flow Logs, achados do GuardDuty e logs de auditoria do EKS para construir grafos de comportamento interativos. Esses grafos permitem que analistas de segurança investiguem entidades (usuários IAM, perfis IAM, endereços IP, instâncias EC2) ao longo do tempo, identifiquem chamadas de API anômalas, detectem movimento lateral entre contas e correlacionem achados do GuardDuty em narrativas de ataque coerentes — tudo isso sem a necessidade de análise manual de logs.

Pré-requisitos

• Conta AWS com Detective habilitado (requer GuardDuty ativo por mais de 48 horas)
• AWS CLI v2 configurado com permissões IAM apropriadas (detective:*, guardduty:List*)
• Python 3.9+ com boto3
• Política IAM: AmazonDetectiveFullAccess ou política personalizada com detective:SearchGraph, detective:GetInvestigation, detective:ListIndicators

Conceitos Chave

Passos

Passo 1: Listar Grafos de Comportamento Disponíveis

aws detective list-graphs --output table

Passo 2: Investigar um Usuário IAM Suspeito

# Get entity profile for an IAM user
aws detective get-investigation \
  --graph-arn arn:aws:detective:us-east-1:123456789012:graph:a1b2c3d4 \
  --investigation-id 000000000000000000001

Passo 3: Buscar Entidades Programaticamente

#!/usr/bin/env python3
"""Search AWS Detective for suspicious entities."""
import boto3
import json
from datetime import datetime, timedelta

detective = boto3.client('detective')

def list_behavior_graphs():
    """List all Detective behavior graphs."""
    response = detective.list_graphs()
    return response.get('GraphList', [])

def get_investigation_indicators(graph_arn, investigation_id, max_results=50):
    """Get indicators for a specific investigation."""
    response = detective.list_indicators(
        GraphArn=graph_arn,
        InvestigationId=investigation_id,
        MaxResults=max_results
    )
    return response.get('Indicators', [])

def investigate_guardduty_findings(graph_arn):
    """List high-severity investigations correlated by Detective."""
    response = detective.list_investigations(
        GraphArn=graph_arn,
        FilterCriteria={
            'Severity': {'Value': 'CRITICAL'},
            'Status': {'Value': 'RUNNING'}
        },
        MaxResults=20
    )

    for investigation in response.get('InvestigationDetails', []):
        print(f"Investigation: {investigation['InvestigationId']}")
        print(f"  Entity: {investigation['EntityArn']}")
        print(f"  Status: {investigation['Status']}")
        print(f"  Severity: {investigation['Severity']}")
        print(f"  Created: {investigation['CreatedTime']}")
        print()

if __name__ == "__main__":
    graphs = list_behavior_graphs()
    for graph in graphs:
        print(f"Graph: {graph['Arn']}")
        investigate_guardduty_findings(graph['Arn'])

Passo 4: Analisar Grupos de Achados para Campanhas de Ataque

# List investigations with high severity
aws detective list-investigations \
  --graph-arn arn:aws:detective:us-east-1:123456789012:graph:a1b2c3d4 \
  --filter-criteria '{"Severity":{"Value":"HIGH"}}' \
  --max-results 10

Passo 5: Verificar Indicadores de Entidade

# Get indicators for a specific investigation
aws detective list-indicators \
  --graph-arn arn:aws:detective:us-east-1:123456789012:graph:a1b2c3d4 \
  --investigation-id 000000000000000000001 \
  --max-results 50

Saída Esperada

O comando list-investigations retorna metadados de investigação:

{
  "InvestigationDetails": [
    {
      "InvestigationId": "000000000000000000001",
      "Severity": "CRITICAL",
      "Status": "RUNNING",
      "State": "ACTIVE",
      "EntityArn": "arn:aws:iam::123456789012:user/suspicious-user",
      "EntityType": "IAM_USER",
      "CreatedTime": "2026-03-15T14:30:00Z"
    }
  ]
}

…