Erkenntnisdetails

• Konto-ID — Die ID des AWS Kontos, in dem die Aktivität stattgefunden hat, die GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Anzahl — Gibt an, wie oft GuardDuty eine Aktivität, die diesem Muster entspricht, mit dieser Ergebnis-ID aggregiert wurde.

• Erstellt am – Uhrzeit und Datum des Zeitpunkts, an dem diese Erkenntnis erstmals erstellt wurde. Wenn dieser Wert von Aktualisiert am abweicht, bedeutet dies, dass die Aktivität mehrfach stattgefunden hat und ein fortlaufendes Problem darstellt.

  Anmerkung

  Zeitstempel für Ergebnisse in der GuardDuty Konsole werden in Ihrer lokalen Zeitzone angezeigt, während bei JSON Exporten und CLI Ausgaben Zeitstempel in angezeigt werden. UTC

• Erkenntnis-ID – Eine eindeutige Erkenntnis-ID für diesen Erkenntnistyp und Parametersatz. Neue Vorkommen von Aktivitäten, die diesem Muster entsprechen, werden für dieselbe ID aggregiert.

• Erkenntnistyp – Eine formatierte Zeichenfolge, die den Typ der Aktivität darstellt, durch den die Erkenntnis ausgelöst wurde. Weitere Informationen finden Sie unter GuardDuty Format finden.

• Region — Die AWS Region, in der das Ergebnis generiert wurde. Weitere Informationen zu unterstützten Regionen finden Sie unter Regionen und Endpunkte

• Ressourcen-ID — Die ID der AWS Ressource, für die die Aktivität stattgefunden hat, die GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Scan-ID — Gilt für Ergebnisse, bei denen GuardDuty Malware Protection for aktiviert EC2 ist. Dabei handelt es sich um eine Kennung des Malware-Scans, der auf den EBS Volumes ausgeführt wird, die der potenziell gefährdeten EC2 Instance- oder Container-Workload zugeordnet sind. Weitere Informationen finden Sie unter Malware-Schutz zum EC2 Auffinden von Details.

• Schweregrad – der einer Erkenntnis zugeordnete Schweregrad: Hoch, Mittel oder Niedrig. Weitere Informationen finden Sie unter GuardDuty Schweregrade der Ergebnisse.

• Aktualisiert am — Das letzte Mal, als dieses Ergebnis mit einer neuen Aktivität aktualisiert wurde, die dem Muster entspricht, das GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Benutzer – Der Benutzername, der für den anomalen Anmeldeversuch verwendet wurde.

• Anwendung – Der Anwendungsname, der für den anomalen Anmeldeversuch verwendet wurde.

• Datenbank – Der Name der Datenbank-Instance, die an dem anomalen Anmeldeversuch beteiligt war.

• SSL— Die für das Netzwerk verwendete Version von Secure Socket Layer (SSL).

• Authentifizierungsmethode – Die Authentifizierungsmethode, die von dem Benutzer verwendet wurde, der an der Erkenntnis beteiligt war.

Details zum Prozess

• Name – Der Name des Prozesses.

• Ausführbarer Pfad – Absoluter Pfad der ausführbaren Zieldatei des Prozesses.

• Executable SHA -256 — Der SHA256 Hash der ausführbaren Datei des Prozesses.

• Namespace PID — Die Prozess-ID des Prozesses in einem anderen sekundären PID Namespace als dem Namespace auf Host-Ebene. PID Bei Prozessen innerhalb eines Containers ist dies die Prozess-ID, die innerhalb des Containers beobachtet wird.

• Derzeitiges Arbeitsverzeichnis – Das aktuelle Arbeitsverzeichnis des Prozesses.

• Prozess-ID – Die ID, die dem Prozess vom Betriebssystem zugewiesen wurde.

• startTime— Die Uhrzeit, zu der der Prozess gestartet wurde. Dies ist im UTC Datumszeichenfolgenformat (2023-03-22T19:37:20.168Z).

• UUID— Die eindeutige ID, die dem Prozess von zugewiesen wurde GuardDuty.

• Parent UUID — Die eindeutige ID des übergeordneten Prozesses. Diese ID wird dem übergeordneten Prozess von zugewiesen GuardDuty.

• Benutzername – Der Benutzername, der den Prozess ausgeführt hat.

• Benutzer-ID – Die Benutzer-ID des Benutzers, der den Prozess ausgeführt hat.

• Effektive Benutzer-ID – Die effektive Benutzer-ID des Prozesses zum Zeitpunkt des Ereignisses.

• Herkunft – Informationen über die Vorfahren des Prozesses.

  • Prozess-ID – Die ID, die dem Prozess vom Betriebssystem zugewiesen wurde.

  • UUID— Die eindeutige ID, die dem Prozess von zugewiesen wurde GuardDuty.

  • Ausführbarer Pfad – Absoluter Pfad der ausführbaren Zieldatei des Prozesses.

  • Effektive Benutzer-ID – Die effektive Benutzer-ID des Prozesses zum Zeitpunkt des Ereignisses.

  • Parent UUID — Die eindeutige ID des übergeordneten Prozesses. Diese ID wird dem übergeordneten Prozess von zugewiesen GuardDuty.

  • Startzeit – Die Uhrzeit, zu der der Prozess gestartet wurde.

  • Namespace PID — Die Prozess-ID des Prozesses in einem anderen sekundären PID Namespace als dem Namespace auf Host-EbenePID. Bei Prozessen innerhalb eines Containers ist dies die Prozess-ID, die innerhalb des Containers beobachtet wird.

  • Benutzer-ID – Die Benutzer-ID des Benutzers, der den Prozess ausgeführt hat.

  • Name – Der Name des Prozesses.

Laufzeitkontext

Aus den folgenden Feldern kann eine generierte Erkenntnis nur die Felder enthalten, die für den Erkenntnistyp relevant sind.

• Mount-Quelle – Der Pfad auf dem Host, der vom Container bereitgestellt wird.

• Mount-Ziel – Der Pfad im Container, der dem Host-Verzeichnis zugeordnet ist.

• Dateisystem-Typ – Stellt den Typ des eingehängten Dateisystems dar.

• Flags – Stellt Optionen dar, die das Verhalten des Ereignisses steuern, das an dieser Erkenntnis beteiligt ist.

• Verändernder Prozess – Informationen über den Prozess, der zur Laufzeit eine Binärdatei, ein Skript oder eine Bibliothek in einem Container erstellt oder geändert hat.

• Geändert am – Der Zeitstempel, zu dem der Prozess zur Laufzeit eine Binärdatei, ein Skript oder eine Bibliothek in einem Container erstellt oder geändert hat. Dieses Feld hat das Format einer UTC Datumszeichenfolge (). 2023-03-22T19:37:20.168Z

• Bibliothekspfad – Der Pfad zur neuen Bibliothek, die geladen wurde.

• LD-Vorladungs-Wert – Der Wert der LD_PRELOAD-Umgebungsvariable.

• Socket-Pfad – Der Pfad zum Docker-Socket, auf den zugegriffen wurde.

• Runc-Binär-Pfad – Der Pfad zur runc-Binärdatei.

• Release-Agent-Pfad – Der Pfad zur cgroup-Release-Agent-Datei.

• Beispiel für eine Befehlszeile — Das Beispiel der Befehlszeile, die an der potenziell verdächtigen Aktivität beteiligt war.

• Werkzeugkategorie — Kategorie, zu der das Tool gehört. Einige der Beispiele sind Backdoor Tool, Pentest Tool, Network Scanner und Network Sniffer.

• Toolname — Der Name des potenziell gefährlichen Tools.

• Skriptpfad — Der Pfad zu dem ausgeführten Skript, das den Befund generiert hat.

• Pfad der Bedrohungsdatei — Der verdächtige Pfad, für den die Bedrohungsinformationen gefunden wurden.

• Dienstname — Der Name des Sicherheitsdienstes, der deaktiviert wurde.

• Scan-ID – Die Kennung des Malware-Scans.

• Scan gestartet am – Das Datum und die Uhrzeit, zu der der Malware-Scan gestartet wurde.

• Scan abgeschlossen am – Das Datum und die Uhrzeit, zu der der Malware-Scan abgeschlossen wurde.

• Trigger Finding ID — Die Finde-ID des GuardDuty Fundes, der diesen Malware-Scan ausgelöst hat.

• Quellen — Die möglichen Werte sind Bitdefender undAmazon.

  Weitere Informationen zur Scan-Engine, die zur Erkennung von Malware verwendet wird, finden Sie unterGuardDuty Scan-Engine zur Malware-Erkennung.

• Scan-Erkennungen – Die vollständige Ansicht der Details und Ergebnisse jedes Malware-Scans.

  • Anzahl gescannter Objekte – Die Gesamtzahl der gescannten Dateien. Liefert Details wie totalGb, files und volumes.

  • Anzahl der entdeckten Bedrohungen – Die Gesamtzahl der während des Scans erkannten schädlichen files.

  • Bedrohungsdetails mit dem höchsten Schweregrad – Die Details der Bedrohung mit dem höchsten Schweregrad, die während des Scans erkannt wurde, und die Anzahl der schädlichen Dateien. Liefert Details wie severity, threatName und count.

  • Nach Namen erkannte Bedrohungen – Das Container-Element, in dem Bedrohungen aller Schweregrade gruppiert werden. Liefert Details wie itemCount, uniqueThreatNameCount, shortened und threatNames.

• Name – Der Name der Bedrohung, der durch Gruppierung der Dateien nach Entdeckung ermittelt wurde.

• Schweregrad – Der Schweregrad der erkannten Bedrohung.

• Hash — Der SHA -256 der Datei.

• Dateipfad — Der Speicherort der schädlichen Datei im EBS Volume.

• Dateiname – Der Name der Datei, in der die Bedrohung erkannt wurde.

• Volumen ARN — Das ARN der gescannten EBS Volumes.

• Scan-ID – Die Kennung des Malware-Scans.

• Scan gestartet am – Das Datum und die Uhrzeit, zu der der Malware-Scan gestartet wurde.

• Scan abgeschlossen am – Das Datum und die Uhrzeit, zu der der Scan abgeschlossen wurde.

• Gescannte Dateien – Die Gesamtzahl der gescannten Dateien und Verzeichnisse.

• Gescannte GB insgesamt – Die Menge an Speicherplatz, die während des Vorgangs gescannt wurde.

• Erkennungs-ID des Auslösers — Die Finde-ID des GuardDuty Fundes, das diesen Malware-Scan ausgelöst hat.

• Die folgenden Informationen sind im Abschnitt Volume-Details im Detailbereich verfügbar.

  • Volume ARN — Der Amazon-Ressourcenname (ARN) des Volumes.

  • Snapshot ARN — Der ARN Snapshot des EBS Volumes.

  • Status – Der Scan-Status des Volumes, z. B. Running, Skipped und Completed.

  • Verschlüsselungstyp – Der Verschlüsselungstyp, der zur Verschlüsselung des Volumes verwendet wird. Beispiel, CMCMK.

  • Gerätename – Der Name des Geräts. Beispiel, /dev/xvda.

• Bedrohungen — Eine Liste der Bedrohungen, die während des Malware-Scans erkannt wurden.

• Elementpfad — Eine Liste mit verschachtelten Elementpfaden und Hash-Details des gescannten S3-Objekts.

  • Verschachtelter Elementpfad — Elementpfad des gescannten S3-Objekts, in dem die Bedrohung erkannt wurde.

    Der Wert dieses Felds ist nur verfügbar, wenn es sich bei dem Objekt der obersten Ebene um ein Archiv handelt und wenn in einem Archiv eine Bedrohung erkannt wurde.

  • Hash — Der Hash der Bedrohung, die in diesem Ergebnis erkannt wurde.

• Quellen — Die möglichen Werte sind Bitdefender undAmazon.

  Weitere Informationen zur Scan-Engine, die zur Erkennung von Malware verwendet wird, finden Sie unterGuardDuty Scan-Engine zur Malware-Erkennung.

• NETWORK_ CONNECTION — Zeigt an, dass Netzwerkverkehr zwischen der identifizierten EC2 Instance und dem Remote-Host ausgetauscht wurde. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Verbindungsrichtung — Die Netzwerkverbindungsrichtung, die bei der Aktivität beobachtet wurde, die GuardDuty zur Generierung des Ergebnisses geführt hat. Bei ihnen kann es sich um einen der folgenden Werte handeln:

    • INBOUND— Zeigt an, dass ein Remote-Host eine Verbindung zu einem lokalen Port auf der identifizierten EC2 Instanz in Ihrem Konto initiiert hat.

    • OUTBOUND— Zeigt an, dass die identifizierte EC2 Instanz eine Verbindung zu einem Remote-Host initiiert hat.

    • UNKNOWN— Zeigt an, dass die Richtung der Verbindung nicht bestimmt werden GuardDuty konnte.

  • Protokoll — Das Netzwerkverbindungsprotokoll, das bei der Aktivität beobachtet wurde, die GuardDuty zur Generierung des Ergebnisses geführt hat.

  • Lokale IP – Die ursprüngliche Quell-IP-Adresse des Datenverkehrs, der die Erkenntnis ausgelöst hat. Diese Informationen können verwendet werden, um zwischen der IP-Adresse einer Zwischenebene, durch die Datenverkehr fließt, und der ursprünglichen Quell-IP-Adresse des Datenverkehrs , der die Suche ausgelöst hat, zu unterscheiden. Zum Beispiel die IP-Adresse eines EKS Pods im Gegensatz zur IP-Adresse der Instanz, auf der der EKS Pod ausgeführt wird.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• PORT_ PROBE — Zeigt an, dass ein Remote-Host die identifizierte EC2 Instanz an mehreren offenen Ports getestet hat. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Lokale IP – Die ursprüngliche Quell-IP-Adresse des Datenverkehrs, der die Erkenntnis ausgelöst hat. Diese Informationen können verwendet werden, um zwischen der IP-Adresse einer Zwischenebene, durch die Datenverkehr fließt, und der ursprünglichen Quell-IP-Adresse des Datenverkehrs , der die Suche ausgelöst hat, zu unterscheiden. Zum Beispiel die IP-Adresse eines EKS Pods im Gegensatz zur IP-Adresse der Instance, auf der der EKS Pod ausgeführt wird.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• DNS_ REQUEST — Zeigt an, dass die identifizierte EC2 Instanz einen Domainnamen abgefragt hat. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Protokoll — Das Netzwerkverbindungsprotokoll, das bei der Aktivität beobachtet wurde, die GuardDuty zur Generierung des Ergebnisses führte.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• AWS_API_ CALL — Zeigt an, dass ein aufgerufen AWS API wurde. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • API— Der Name der API Operation, die aufgerufen und somit GuardDuty zur Generierung dieses Ergebnisses aufgefordert wurde.

    Anmerkung

    Diese Operationen können auch API Ereignisse umfassen, die nicht von AWS CloudTrail erfasst wurden. Weitere Informationen finden Sie unter Nicht- API Ereignisse erfasst von CloudTrail.

  • Benutzeragent — Der Benutzeragent, der die API Anfrage gestellt hat. Dieser Wert gibt an, ob der Anruf von AWS Management Console, einem AWS Dienst AWS SDKs, dem oder dem getätigt wurde AWS CLI.

  • ERRORCODE— Wenn das Ergebnis durch einen fehlgeschlagenen API Anruf ausgelöst wurde, wird der Fehlercode für diesen Anruf angezeigt.

  • Dienstname — Der DNS Name des Dienstes, der versucht hat, den API Anruf zu tätigen, der den Befund ausgelöst hat.

• RDS_ LOGIN _ ATTEMPT — Zeigt an, dass von einer Remote-IP-Adresse aus ein Anmeldeversuch bei der potenziell gefährdeten Datenbank unternommen wurde.

  • IP-Adresse – Die Remote-IP-Adresse, die für den potenziell verdächtigen Anmeldeversuch verwendet wurde.

• Verbunden — Gibt an, ob das AWS Konto des API Remote-Anrufers mit Ihrer GuardDuty Umgebung in Verbindung steht. Wenn dieser Wert isttrue, ist der API Anrufer in irgendeiner Weise mit Ihrem Konto verbunden. Falls false der API Anrufer von außerhalb Ihrer Umgebung stammt.

• Remote-Konto-ID — Die Konto-ID, der die ausgehende IP-Adresse gehört, die für den Zugriff auf die Ressource im endgültigen Netzwerk verwendet wurde.

• IP-Adresse — Die IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Standort — Standortinformationen für die IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Organisation — Informationen zur ISP Organisation der IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Port — Die Portnummer, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Domain — Die Domain, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Domain mit Suffix — Die Domain der zweiten und obersten Ebene, die an einer Aktivität beteiligt war, die möglicherweise GuardDuty zur Generierung des Ergebnisses geführt hat. Eine Liste der Domänen der obersten und zweiten Ebene finden Sie in der Liste der öffentlichen Suffixe.

• Name der Bedrohungsliste — Der Name der Bedrohungsliste, die die IP-Adresse oder den Domainnamen enthält, der an der Aktivität beteiligt war, die GuardDuty zur Generierung des Fundes geführt hat.

• Beispiel – Der Wert Wahr oder Falsch, gibt an, ob es sich um ein Beispiel-Erkenntnis handelt.

• Archiviert – Der Wert Wahr oder Falsch, gibt an, ob diese Erkenntnis archiviert wurde.

• Ungewöhnlich – Aktivitätsdetails, die zuvor noch nicht beobachtet wurden. Dazu können ein ungewöhnlicher (zuvor nicht beobachteter) Benutzer, ein ungewöhnlicher Ort, eine Uhrzeit, ein Bucket, ein Anmeldeverhalten oder eine ASN Organisation gehören.

• Ungewöhnliches Protokoll — Das Netzwerkverbindungsprotokoll, das an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Agentendetails — Details über den Security Agent, der derzeit auf dem EKS Cluster in Ihrem installiert ist AWS-Konto. Dies gilt nur für Findetypen von EKS Runtime Monitoring.

  • Agent-Version — Die Version des GuardDuty Security Agents.

  • Agenten-ID — Die eindeutige Kennung des GuardDuty Security Agents.

• Informationen zur Bedrohungsinformation — Der Name der Bedrohungsliste, auf der die erkannte Bedrohung aufgeführt Threat name ist.

• Name der Bedrohung — Der Name der Malware-Familie oder eine andere Kennung, die mit der Bedrohung verknüpft ist.

• Bedrohungsdatei SHA256 — SHA256 der Datei, die den Befund generiert hat.

• Anomal APIs — Eine Liste von API Anfragen, die von der Benutzeridentität in der Nähe der mit dem Ergebnis API verknüpften primären Anfrage aufgerufen wurden. In diesem Bereich werden die Details des API Ereignisses wie folgt weiter aufgeschlüsselt.

  • Die erste API aufgelistete ist die primäreAPI, d. h. die API Anfrage, die mit der beobachteten Aktivität mit dem höchsten Risiko verknüpft ist. Dies ist diejenigeAPI, die den Befund ausgelöst hat und mit der Angriffsphase des Befundtyps korreliert. Dies ist auch API das, was im Abschnitt Aktion in der Konsole und in den Ergebnissen detailliert beschrieben wird. JSON

  • Bei allen anderen APIs aufgelisteten Benutzern handelt es sich um weitere Anomalien APIs im Vergleich zur aufgelisteten Benutzeridentität, die in der Nähe des primären Benutzers beobachtet wurden. API Wenn nur eine Benutzeridentität API auf der Liste steht, hat das ML-Modell keine zusätzlichen API Anfragen von dieser Benutzeridentität als anomal identifiziert.

  • Die Liste von APIs ist danach unterteilt, ob eine erfolgreich aufgerufen API wurde oder ob eine nicht erfolgreich aufgerufen API wurde, was bedeutet, dass eine Fehlerantwort empfangen wurde. Die Art der empfangenen Fehlerantwort ist über jeder erfolglos aufgerufenen Antwort aufgeführt. API Mögliche Fehlerantworttypen sind: access denied, access denied exception, auth failure, instance limit exceeded, invalid permission - duplicate, invalid permission - not found und operation not permitted.

  • APIswerden nach dem zugehörigen Dienst kategorisiert.

  • Wenn Sie mehr Kontext benötigen, wählen Sie „Historisch“ aus, APIs um die wichtigsten Informationen zu sehenAPIs, bis zu einem Maximum von 20, die in der Regel sowohl für die Benutzeridentität als auch für alle Benutzer innerhalb des Kontos angezeigt werden. Sie APIs sind als Selten (weniger als einmal pro Monat), Selten (einige Male im Monat) oder Häufig (täglich bis wöchentlich) gekennzeichnet, je nachdem, wie oft sie in Ihrem Konto verwendet werden.

• Ungewöhnliches Verhalten (Konto) – In diesem Abschnitt finden Sie zusätzliche Informationen zum profilierten Verhalten Ihres Kontos.

  Profiliertes Verhalten

  GuardDuty erfährt anhand der bereitgestellten Ereignisse kontinuierlich mehr über die Aktivitäten in Ihrem Konto. Diese Aktivitäten und ihre beobachtete Häufigkeit werden als profiliertes Verhalten bezeichnet.

  Zu den in diesem Bereich erfassten Informationen gehören:

  • ASNOrg — Die autonome Systemnummer (ASN), von der aus der ungewöhnliche API Anruf getätigt wurde.

  • Benutzername — Der Name des Benutzers, der den anomalen API Anruf getätigt hat.

  • Benutzeragent — Der Benutzeragent, der für den anomalen API Anruf verwendet wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Benutzertyp — Der Benutzertyp, der den anomalen API Anruf getätigt hat. Mögliche Werte sind AWS_SERVICE, ASSUMED_ROLE, IAM_USER oder ROLE.

  • Bucket – Der Name des S3-Buckets, auf den zugegriffen wurde.

• Ungewöhnliches Verhalten (Benutzeridentität) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten der Benutzeridentität, die an der Erkenntnis beteiligt war. Wenn ein Verhalten nicht als historisch identifiziert wurde, bedeutet dies, dass das GuardDuty ML-Modell diese Benutzeridentität während des Trainingszeitraums noch nicht auf diese Weise API aufgerufen hat. Die folgenden zusätzlichen Details zur Benutzeridentität sind verfügbar:

  • ASNOrg — Die ASN Organisation, von der aus der anomale API Aufruf getätigt wurde.

  • Benutzeragent — Der Benutzeragent, mit dem der anomale API Anruf getätigt wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Bucket – Der Name des S3-Buckets, auf den zugegriffen wurde.

• Ungewöhnliches Verhalten (Bucket) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten des S3-Buckets, der mit der Erkenntnis verknüpft ist. Wenn ein Verhalten nicht als historisch identifiziert wurde, bedeutet dies, dass das GuardDuty ML-Modell innerhalb des Trainingszeitraums noch keine API Aufrufe an diesen Bucket auf diese Weise gesehen hat. Zu den in diesem Bereich erfassten Informationen gehören:

  • ASNOrg — Die ASN Organisation, von der aus der anomale API Anruf getätigt wurde.

  • Benutzername — Der Name des Benutzers, der den anomalen API Anruf getätigt hat.

  • Benutzeragent — Der Benutzeragent, der für den anomalen API Anruf verwendet wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Benutzertyp — Der Benutzertyp, der den anomalen API Anruf getätigt hat. Mögliche Werte sind AWS_SERVICE, ASSUMED_ROLE, IAM_USER oder ROLE.

  Anmerkung

  Weitere Informationen zu historischen Verhaltensweisen finden Sie unter Historisches Verhalten in den Abschnitten Ungewöhnliches Verhalten (Konto), Benutzer-ID oder Bucket, wo Sie Details zum erwarteten Verhalten in Ihrem Konto für jede der folgenden Kategorien anzeigen können: Selten (weniger als einmal pro Monat), Gelegentlich (einige Male pro Monat) oder Häufig (täglich bis wöchentlich), je nachdem, wie oft sie in Ihrem Konto verwendet werden.

• Ungewöhnliches Verhalten (Datenbank) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten der Datenbank-Instance, das mit der Erkenntnis verknüpft ist. Wenn ein Verhalten nicht als historisch identifiziert wird, bedeutet dies, dass das GuardDuty ML-Modell innerhalb des Trainingszeitraums noch keinen Anmeldeversuch auf diese Weise bei dieser Datenbankinstanz festgestellt hat. Zu den Informationen, die für diesen Abschnitt im Erkenntnisbereich verfolgt werden, gehören:

  • Benutzer – Der Benutzername, der für den anomalen Anmeldeversuch verwendet wurde.

  • ASNOrganisation — Die ASN Organisation, von der aus der ungewöhnliche Anmeldeversuch unternommen wurde.

  • Anwendung – Der Anwendungsname, der für den anomalen Anmeldeversuch verwendet wurde.

  • Datenbank – Der Name der Datenbank-Instance, die an dem anomalen Anmeldeversuch beteiligt war.

  Der Abschnitt Historisches Verhalten bietet mehr Kontext zu den zuvor beobachteten Benutzernamen, ASNOrganisationen, Anwendungsnamen und Datenbanknamen für die zugehörige Datenbank. Jedem Einzelwert ist eine Anzahl zugeordnet, die angibt, wie oft dieser Wert bei einer erfolgreichen Anmeldung beobachtet wurde.

• Ungewöhnliches Verhalten (Konto-Kubernetes-Cluster, Kubernetes-Namespace und Kubernetes-Benutzername) – In diesem Abschnitt finden Sie zusätzliche Informationen zum profilierten Verhalten des Kubernetes-Clusters und des mit der Erkenntnis verbundenen Namespaces. Wenn ein Verhalten nicht als historisch identifiziert wird, bedeutet dies, dass das GuardDuty ML-Modell dieses Konto, diesen Cluster, diesen Namespace oder diesen Benutzernamen zuvor nicht auf diese Weise beobachtet hat. Zu den Informationen, die für diesen Abschnitt im Erkenntnisbereich verfolgt werden, gehören:

  • Benutzername — Der Benutzer, der das mit dem Ergebnis API verknüpfte Kubernetes aufgerufen hat.

  • Impersonierter Nutzername – Der Benutzer, für den sich username ausgibt.

  • Namespace — Der Kubernetes-Namespace innerhalb des EKS Amazon-Clusters, in dem die Aktion stattgefunden hat.

  • User Agent — Der Benutzeragent, der dem Kubernetes-Aufruf zugeordnet ist. API Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. kubectl.

  • API— Die Kubernetes, die username innerhalb des EKS Amazon-Clusters API aufgerufen wurden.

  • ASNInformationen — Die ASN Informationen, wie Organisation undISP, die mit der IP-Adresse des Benutzers verknüpft sind, der diesen Anruf tätigt.

  • Wochentag — Der Wochentag, an dem der API Kubernetes-Anruf getätigt wurde.

  • Erlaubnis — Das Kubernetes-Verb und die Ressource, die auf Zugriff geprüft werden, um anzugeben, ob sie Kubernetes verwenden username können oder nicht. API

  • Dienstkontoname — Das dem Kubernetes-Workload zugeordnete Dienstkonto, das dem Workload eine Identität verleiht.

  • Registrierung — Die Container-Registry, die dem Container-Image zugeordnet ist, das im Kubernetes-Workload bereitgestellt wird.

  • Image — Das Container-Image ohne die zugehörigen Tags und Digest, das im Kubernetes-Workload bereitgestellt wird.

  • Image-Präfix-Konfiguration — Das Image-Präfix mit aktivierter Container- und Workload-Sicherheitskonfiguration, z. B. hostNetwork oderprivileged, für den Container, der das Image verwendet.

  • Betreffname — Die Subjekte, wie z. B. a usergroup, oder, serviceAccountName die an eine Referenzrolle in einem RoleBinding oder gebunden sindClusterRoleBinding.

  • Rollenname — Der Name der Rolle, die an der Erstellung oder Änderung von Rollen beteiligt ist, oder roleBinding API

• GetObject

• CopyObject.Read

• SelectObjectContent

• Anzahl der vom IAM Benutzer oder der IAM Rolle aufgerufenen s3-api-name API Aufrufe (hängt davon ab, welcher ausgelöst wurde), die mit dem betroffenen S3-Bucket in den letzten 24 Stunden verknüpft sind.

• Anzahl der vom IAM Benutzer oder der IAM Rolle aufgerufenen s3-api-name API Aufrufe (hängt davon ab, welcher ausgelöst wurde), die allen S3-Buckets in den letzten 24 Stunden zugeordnet wurden.

• Anzahl der s3-api-name API Aufrufe für alle IAM Benutzer oder IAM Rollen (hängt davon ab, welcher ausgelöst wurde), die mit dem betroffenen S3-Bucket in den letzten 24 Stunden verknüpft waren.

• successfulLoginCount— Dieser Zähler stellt die Summe der erfolgreichen Verbindungen (richtige Kombination von Anmeldeattributen) dar, die der ungewöhnliche Akteur mit der Datenbankinstanz hergestellt hat. Zu den Anmeldeattributen gehören Benutzername, Passwort und Datenbankname.

• failedLoginCount— Dieser Zähler stellt die Summe der fehlgeschlagenen (erfolglosen) Anmeldeversuche dar, die unternommen wurden, um eine Verbindung zur Datenbankinstanz herzustellen. Dies weist darauf hin, dass ein oder mehrere Attribute der Anmeldekombination, wie Benutzername, Passwort oder Datenbankname, falsch waren.

• incompleteConnectionCount— Dieser Zähler stellt die Anzahl der Verbindungsversuche dar, die nicht als erfolgreich oder gescheitert eingestuft werden können. Diese Verbindungen werden geschlossen, bevor die Datenbank eine Antwort liefert. Beispielsweise Port-Scanning, bei dem der Datenbank-Port zwar verbunden ist, aber keine Information an die Datenbank gesendet wird, oder die Verbindung vor Abschluss der Anmeldung entweder erfolgreich oder fehlgeschlagen abgebrochen wurde.