[アップデート]Amazon Detectiveがラジアルレイアウトによる可視化に対応しました！

こんにちは、臼田です。

みなさん、インシデントの可視化してますか？(挨拶

今回は、Amazon DetectiveのFinding Groupsによる可視化が新しくラジアルレイアウトに対応したので試してみます。

Document history for Detective User Guide - Amazon Detective

Detective added a new Radial layout to the finding group Visualization panel, to provide improved visualization for easier data interpretation.

[翻訳]Detective は、発見グループの視覚化パネルに新しい放射状レイアウトを追加し、視覚化を改善してデータの解釈を容易にしました。

Detectiveの画面を開いたら通知が来ていたため発覚しました。

概要

Amazon DetectiveはAmazon GuardDutyで検出したインシデントをグラフにし可視化し調査できるようにする基盤です。

関連するエンティティの情報やログを収集していい感じにまとめてくれていて、何が起きているのか、それぞれのリソースはどう関連しているのかを解決する用途に優れています。詳しくは下記記事を見てください。

https://dev.classmethod.jp/articles/amazon-detective-investigation-demo/

そして、リソース間とイベントの関連性をグラフ化するFinding Group Visualization機能(つまり可視化機能)があります。詳しくは下記で。

https://dev.classmethod.jp/articles/detective-support-finding-group-visualization/

今回のアップデートでは、この可視化の機能で新しくラジアルレイアウトを利用することができるようになりました。

ラジアルレイアウトってなんでしょうか？説明するより図を見たほうが早いので見ていきましょう。

やってみた

ちょうど先日、たくさんGuardDutyを検出させるデモのワークショップであるインシデント対応シミュレーションでセキュリティ チームを支援するセキュリティ調査結果を生成する方法を使ったので、ちょうどよくそこそこの規模の関連性が生成されていましたのでこれを見ていきます。以下のような感じ。

新しいラジアルレイアウトも含めて現状4種類のレイアウトが存在しています。順に見ていきましょう。

グリッド(Grid)レイアウト

グリッドレイアウトは検出と関連リソースを左右に分けた単純な配置です。

関係性がシンプルにわかりやすい時もありますが、エンティティが多いと縦に長くなるので複雑な関連性を見るときにはあまり向いてないですね。

拡大するとちょうどよい感じ

力指向(Force-directed)レイアウト

画面上では力指向と書いてありますが、Force-directedは力学モデルと呼ばれ、エンティティ間が適度に一定に保たれて全体的に見やすく、旧来私は一番活用していました。

項目が多くても比較的全体を理解しやすいです。

サークル(Circle)レイアウト

文字通り円状にエンティティを配置して、相関の線を見やすくしたレイアウトです。ただ関連性が多い、線が多いとあまり意味をなさなくなります。

ラジアル(Radial)レイアウト

ここまでを見ていると、この良さがわかるのではないでしょうか？エンティティ数が多くても全体を理解しやすいのは力学モデルと同じですが、中心から円形の放射状にエンティティが配置され、だいたい同じ粒度のエンティティが円周上に並んでいます。

これにより、エンティティの配置が単純な力学モデルよりも関連性が理解しやすくなっています。

まあ、検出している内容によってどのレイアウトがいいかは変わるのは引き続きだとは思います。

まとめ

新しく登場したラジアルレイアウトを使ってみました。

Detectiveの可視化は本当に素晴らしいですね。バリバリ使いこなしていきましょう！