動作グラフのデータ構造の概要

エンティティは、Detective ソースデータから抽出された項目を表します。

各エンティティにはタイプがあり、それが表すオブジェクトのタイプを識別します。エンティティタイプの例には、IP アドレス、Amazon EC2インスタンス、 AWS ユーザーなどがあります。

各エンティティについて、ソースデータはエンティティのプロパティを入力するためにも使用されます。プロパティ値は、ソースレコードから直接抽出されることもあれば、複数のレコードにまたがって集計される場合もあります。

一部のプロパティは、単一のスカラー値または集計値で構成されます。例えば、EC2インスタンスの場合、Detective はインスタンスのタイプと処理された合計バイト数を追跡します。

時系列プロパティは、時間の経過に合わせてアクティビティを追跡します。例えば、EC2インスタンスの場合、Detective は使用した一意のポートを経時的に追跡します。

関係は、個々のエンティティ間で発生するアクティビティを表します。また、関係は、Detective ソースデータから抽出されます。

エンティティと同様に、関係にはタイプがあります。これは、関係するエンティティのタイプと接続の方向を識別します。リレーションシップタイプの例は、EC2インスタンスに接続する IP アドレスです。

特定のインスタンスに接続する特定の IP アドレスなど、個々の関係ごとに、Detective は時間の経過に合わせてアクティビティの発生を追跡します。

AWS Detective ソースデータに存在する アカウント。

各アカウントについて、Detective は次のいくつかの質問に対する回答を提供します。

AWS Detective ソースデータに存在する ロール。

ロールごとに、Detective はいくつかの質問に対する回答を提供します。

AWS Detective ソースデータに存在する ユーザー。

ユーザーごとに、Detective はいくつかの質問に対する回答を提供します。

フェデレーティッドユーザーのインスタンス。フェデレーティッドユーザーの例には次が含まれます。

フェデレーティッドユーザーごとに、Detective は以下の質問に対する回答を提供します。

EC2 Detective ソースデータに存在する インスタンス。

EC2 インスタンスの場合、Detective はいくつかの質問に答えます。

ロールを引き受けるリソースのインスタンス。各ロールセッションは、ロール識別子とセッション名で識別されます。

ロールごとに、Detective はいくつかの質問に対する回答を提供します。

Detective ソースデータにフィード GuardDuty される Amazon によって検出された結果。

検出結果ごとに、Detective は、検出結果のアクティビティについて、検出結果のタイプ、オリジン、および時間枠を追跡します。

また、検出されたアクティビティに関係するロールや IP アドレスなど、検出結果に固有の情報も保存されます。

Detective ソースデータに存在する IP アドレス。

IP アドレスごとに、Detective はいくつかの質問に対する回答を提供します。

Detective ソースデータにある S3 バケット。

S3 バケットごとに、Detective は以下の質問に対する回答を提供します。

S3 バケットを削除してから、同じ名前の新しいバケットを作成できます。Detective は S3 バケット名を使用して S3 バケットを識別するため、これらを単一の S3 バケットエンティティとして扱います。エンティティプロファイルでは、[Creation time] (作成時刻) は最初の作成時刻です。[Deletion time] (削除時刻) は、最新の削除時刻です。

すべての作成イベントおよび削除イベントを表示するには、作成時刻で開始し、削除時刻で終了するようにスコープ時間を設定します。全体的なAPI通話量プロファイルパネルで、スコープ時間のアクティビティの詳細を表示します。API メソッドをフィルタリングして Createおよび Deleteメソッドを表示します。「API コールボリューム全体のアクティビティの詳細」を参照してください。

Detective ソースデータに存在するユーザーエージェント。

ユーザーエージェントごとに、Detective は以下のような質問に対する回答を提供します。

EKS Detective ソースデータに存在する クラスター。

Detective はEKSクラスターごとに次のような質問に答えます。

Detective ソースデータに存在する Kubernetes ポッド。

ポッドごとに、Detective は以下のような質問に対する回答を提供します。

Detective ソースデータに存在するコンテナイメージ。

コンテナイメージごとに、Detective は以下のような質問に対する回答を提供します。

Detective ソースデータに存在する Kubernetes サブジェクト。Kubernetes サブジェクトはユーザーまたはサービスアカウントです。

サブジェクトごとに、Detective は以下のような質問に対する回答を提供します。