Amazon GuardDuty が本番 VPC 内の EC2 インスタンスで「CryptoCurrency:EC2/BitcoinTool.B!DNS」（不正な暗号通貨マイニングツールの DNS 通信検出）を検出しました。セキュリティチームはすでにそのインスタンスをネットワーク的に隔離しました。環境では AWS CloudTrail・VPC Flow Logs・GuardDuty・Amazon Detective がすべて有効化されています。次のステップとして、(1) 侵害が他のリソースに拡散していないか、(2) そのインスタンスの IAM ロールを使った不審な API 呼び出しが行われていないか、(3) 侵害されたロールに関連するエンティティ間の関係性と横移動（lateral movement：攻撃者がシステム間を移動する行動）のタイムラインを把握する必要があります。セキュリティエンジニアリングの工数を最小限に抑えながら最も効率的に調査できるサービスはどれですか？
Amazon Detective は CloudTrail・VPC Flow Logs・GuardDuty の検出結果を自動取り込みし、IAM プリンシパル・EC2 インスタンス・IP アドレス等のエンティティ間の関係を示すビヘイビアグラフを構築します。GuardDuty コンソールから Detective への直接リンクが生成され、「どの IAM エンティティが関与したか」「どのリソースにアクセスしたか」「不審な通信先との関係性」を事前構築されたビジュアルで即座に調査でき、手動クエリ作成が不要です。 選択肢Aの Athena クエリは強力ですが、スキーマ定義・パーティション管理・複雑なクエリ設計が必要で、複数エンティティ間の関係性の視覚化には不向きです。工数が大きく「最小限の工数」要件に反します。 選択肢Cの CloudWatch Logs Insights は個別ログ検索に有効ですが、エンティティ間の行動グラフ生成や横移動の可視化機能を持ちません。各アカウントで CloudTrail → CloudWatch Logs 転送設定も別途必要です。 選択肢Dの Security Hub は検出結果の集約・優先付けを担当しますが、API 呼び出しシーケンスの詳細調査やエンティティ関係の可視化は機能範囲外です。