用途：利用 Amazon Detective 的行为图调查 AWS 安全事件，追踪 IAM 用户、角色、IP 地址、EC2 实例等实体，识别异常 API 调用、跨账户横向移动，并将 GuardDuty 发现关联为攻击叙事，无需手动解析日志。
主要能力：行为图自动整合 CloudTrail、VPC Flow Logs、GuardDuty 与 EKS 审计日志；通过实体配置文件查看 API 调用与网络连接时间线；搜索实体、列出高严重性调查、分析 Finding Group 以还原攻击活动。
使用方式：需启用 Detective（GuardDuty 需活跃 48 小时以上），配置 AWS CLI v2 与相应 IAM 权限（如 AmazonDetectiveFullAccess，或含 detective:SearchGraph、detective:GetInvestigation、detective:ListIndicators 的自定义策略），Python 3.9+ 与 boto3。核心命令包括： aws detective list-graphs --output table aws detective get-investigation --graph-arn <arn> --investigation-id <id> aws detective list-investigations --graph-arn <arn> --filter-criteria '{"Severity":{"Value":"HIGH"}}' --max-results 10 aws detective list-indicators --graph-arn <arn> --investigation-id <id> --max-results 50
也可用 Python 调用 list_graphs、list_indicators、list_investigations 等 API 程序化搜索实体。指标类型包括 TTP_OBSERVED、IMPOSSIBLE_TRAVEL、FLAGGED_IP_ADDRESS、NEW_GEOLOCATION、NEW_ASO、NEW_USER_AGENT、RELATED_FINDING 等。
适用场景：云安全事件响应、威胁狩猎、攻击链关联分析、高严重性调查告警与人工结论比对。
限制：需已启用 Detective 与 GuardDuty；具体收费与价格资料暂未提供；调查窗口默认 24 小时、最长 1 年；输出示例与验证步骤依赖实际账户数据。