Descripción general de la estructura de datos del gráfico de comportamiento

Una entidad representa un elemento extraído de los datos de origen de Detective.

Cada entidad tiene un tipo, que identifica el tipo de objeto al que representa. Algunos ejemplos de tipos de entidades son las direcciones IP, las EC2 instancias de Amazon y AWS los usuarios.

En cada entidad, los datos de origen también se utilizan para rellenar las propiedades de la entidad. Los valores de las propiedades pueden extraerse directamente de los registros de origen o agregarse en varios registros.

Algunas propiedades consisten en un único valor escalar o agregado. Por ejemplo, para una EC2 instancia, Detective rastrea el tipo de instancia y el número total de bytes procesados.

Las propiedades de las series temporales rastrean la actividad a lo largo del tiempo. Por ejemplo, por EC2 ejemplo, Detective rastrea a lo largo del tiempo los puertos únicos que utilizó.

Una relación representa la actividad que se produce entre entidades individuales. Las relaciones también se extraen de los datos de origen de Detective.

Al igual que una entidad, una relación tiene un tipo que identifica los tipos de entidades implicadas y el sentido de la conexión. Un ejemplo de un tipo de relación son las direcciones IP que se conectan a EC2 instancias.

Para cada relación individual, como una dirección IP específica que se conecta a una instancia específica, Detective rastrea las apariciones a lo largo del tiempo.

AWS cuentas que están presentes en los datos de origen del Detective.

Para cada cuenta, Detective responde a varias preguntas:

AWS funciones que están presentes en los datos de origen del Detective.

Para cada rol, Detective responde a varias preguntas:

AWS usuarios que están presentes en los datos de origen del Detective.

Para cada usuario, Detective responde a varias preguntas:

Instancias de un usuario federado. Algunos ejemplos de usuarios federados incluyen los siguientes:

Para cada usuario federado, Detective responde a las siguientes preguntas:

EC2instancias que están presentes en los datos de origen del Detective.

Por ejemploEC2, el Detective responde a varias preguntas:

Instancias de un recurso que asume un rol. Cada sesión de rol se identifica mediante el identificador de rol y un nombre de sesión.

Para cada rol, Detective responde a varias preguntas:

Hallazgos descubiertos por Amazon GuardDuty que se incluyen en los datos fuente del Detective.

Para cada resultado, Detective rastrea el tipo de resultado, el origen y la franja horaria de la actividad del resultado.

También almacena información específica del resultado, como los roles o las direcciones IP que intervienen en la actividad detectada.

Direcciones IP que están presentes en los datos de origen de Detective.

Para cada dirección IP, Detective responde a varias preguntas:

Buckets de S3 que se encuentran en los datos de origen de Detective.

Para cada bucket de S3, Detective responde a estas preguntas:

Puede eliminar un bucket de S3 y, a continuación, crear uno nuevo con el mismo nombre. Como Detective usa el nombre del bucket de S3 para identificar el bucket de S3, los trata como una única entidad de bucket de S3. En el perfil de entidad, la Hora de creación es la primera hora de creación. La Hora de eliminación es la hora de eliminación más reciente.

Para ver todos los eventos de creación y eliminación, defina el rango temporal para que comience con la hora de creación y finalice con la hora de eliminación. En el panel del perfil del volumen general de API llamadas, muestra los detalles de la actividad durante el tiempo determinado. Filtra los API métodos que quieres mostrar Create y Delete los métodos. Consulte Detalles de la actividad del volumen total de API llamadas.

Agentes de usuario que están presentes en los datos de origen de Detective.

Para cada agente de usuario, Detective responde preguntas como las siguientes:

EKSclústeres que están presentes en los datos de origen del Detective.

Para cada EKS grupo, el Detective responde a preguntas como las siguientes:

Pods de Kubernetes que están presentes en los datos de origen de Detective.

Para cada pod, Detective responde a preguntas como las siguientes:

Imágenes de contenedor que están presentes en los datos de origen de Detective.

Para cada imagen de contenedor, Detective responde preguntas como las siguientes:

Sujetos de Kubernetes que están presentes en los datos de origen de Detective. Un sujeto de Kubernetes es una cuenta de usuario o de servicio.

Para cada sujeto, Detective responde preguntas como las siguientes: