Servicio de análisis forense que construye un grafo de comportamiento a partir de datos de GuardDuty, CloudTrail y VPC Flow Logs, facilitando investigar la causa raíz de un finding de seguridad y visualizar relaciones entre recursos, IPs y usuarios.
En SAP-C02 se usa después de que GuardDuty genera un finding: Detective ayuda a responder "¿cómo empezó este incidente y qué otros recursos están implicados?". No detecta amenazas por sí mismo, analiza las ya detectadas.