検出結果の詳細

• アカウント ID – この結果の生成 GuardDuty を に求めるアクティビティが行われたアカウントの ID AWS 。

• カウント - このパターンとこの結果 ID に一致するアクティビティを GuardDuty が集計した回数。

• 作成時刻 - この検出結果が初めて生成された日時。この値が [Updated at] (更新時刻) と異なる場合は、そのアクティビティが複数回発生しており、現在も進行中の問題でありことを示しています。

  注記

  GuardDuty コンソールの結果のタイムスタンプはローカルタイムゾーンに表示され、JSONエクスポートとCLI出力は にタイムスタンプを表示しますUTC。

• [Finding ID] (結果 ID) - この検出結果タイプおよびパラメータセットに対応する一意の識別子です。このパターンに一致するアクティビティが新しく出現した場合は、同じ ID に集約されます。

• [結果タイプ] - 検出結果をトリガーしたアクティビティのタイプを表す、書式設定された文字列。詳細については、「GuardDuty の検出結果の形式」を参照してください。

• リージョン – 結果が生成された AWS リージョン。サポートされるリージョンについては、「リージョンとエンドポイント」を参照してください。

• リソース ID – この結果の生成 GuardDuty を に求めるアクティビティが行われたリソースの AWS ID。

• スキャン ID – GuardDuty Malware Protection for EC2が有効になっている場合の検出結果に適用されます。これは、侵害された可能性のあるEC2インスタンスまたはコンテナワークロードにアタッチされたEBSボリュームで実行されるマルウェアスキャンの識別子です。詳細については、「EC2 検出結果の詳細に関する Malware Protection」を参照してください。

• 重要度 – 重要度、高、中、低のいずれかの検出結果に割り当てられた重要度レベル。詳細については、「検出結果の重要度レベル」を参照してください。

• 更新日時 – この検出結果が、 がこの検出結果を生成するように促 GuardDutyしたパターンに一致する新しいアクティビティで最後に更新された時刻。

• 概要 – シグナル、MITRE戦術、影響を受ける可能性のあるリソースなど、攻撃シーケンスの詳細をコンパクトに表示します。

• シグナル — 攻撃シーケンスに関連するイベントのタイムラインを表示します。

• リソース — 影響を受ける可能性のあるリソース、またはリスクにさらされている可能性のあるリソースに関する情報を提供します。

• [User] (ユーザー) - 異常なログイン試行に使用されたユーザー名

• [Application] (アプリケーション) — 異常なログイン試行に使用されたアプリケーション名

• [Database] (データベース) — 異常なログイン試行に関与したデータベースインスタンスの名前

• SSL – ネットワークに使用される Secure Socket Layer (SSL) のバージョン。

• [認証方法] — 検出に関与したユーザーが使用した認証方法

プロセスの詳細

• 名前 - プロセスの名前。

• 実行可能ファイルのパス - プロセスの実行可能ファイルの絶対パス。

• 実行可能ファイル SHA-256 – プロセス実行可能ファイルのSHA256ハッシュ。

• 名前空間 PID – ホストレベルPID名前空間以外のセカンダリPID名前空間にあるプロセスのプロセス ID。コンテナ内のプロセスの場合、コンテナ内で確認されるプロセス ID です。

• 現在の作業ディレクトリ - プロセスの現在の作業ディレクトリ。

• プロセス ID - オペレーティングシステムによってプロセスに割り当てられた ID。

• startTime – プロセスが開始された時刻。これはUTC日付文字列形式 () です2023-03-22T19:37:20.168Z。

• UUID – プロセスに割り当てられた一意の ID GuardDuty。

• 親 UUID – 親プロセスの一意の ID。この ID は親プロセスに割り当てられます GuardDuty。

• ユーザー - プロセスを実行したユーザー。

• ユーザー ID - プロセスを実行したユーザーの ID。

• 有効なユーザー ID - イベント発生時のプロセスの有効な実効ユーザー ID。

• 系列 - プロセスの先祖に関する情報。

  • プロセス ID - オペレーティングシステムによってプロセスに割り当てられた ID。

  • UUID – プロセスに割り当てられた一意の ID GuardDuty。

  • 実行可能ファイルのパス - プロセスの実行可能ファイルの絶対パス。

  • 有効なユーザー ID - イベント発生時のプロセスの有効な実効ユーザー ID。

  • 親 UUID – 親プロセスの一意の ID。この ID は、 によって親プロセスに割り当てられます GuardDuty。

  • 開始時間 - プロセスが開始された時間。

  • 名前空間 PID – ホストレベルPID名前空間以外のセカンダリPID名前空間にあるプロセスのプロセス ID。コンテナ内のプロセスの場合、コンテナ内で確認されるプロセス ID です。

  • ユーザー ID - プロセスを実行したユーザーのユーザー ID。

  • 名前 - プロセスの名前。

ランタイムのコンテキスト

次のフィールドから、生成された検出結果には、その検出結果タイプに関連するフィールドのみが含まれる場合があります。

• マウントソース - コンテナによってマウントされたホスト上のパス。

• マウントターゲット - ホストディレクトリにマッピングされているコンテナ内のパス。

• ファイルシステムタイプ - マウントされたファイルシステムのタイプを示します。

• フラグ - この検出結果に関係するイベントの動作をコントロールするオプションを示します。

• プロセスの変更 - 実行時にコンテナ内でバイナリ、スクリプト、またはライブラリを作成または変更したプロセスに関する情報。

• 修正日時 - 実行時にプロセスがコンテナ内のバイナリ、スクリプト、またはライブラリを作成または変更したときのタイムスタンプ。このフィールドは、UTC日付文字列形式 () です2023-03-22T19:37:20.168Z。

• ライブラリパス - ロードされた新しいライブラリへのパス。

• LD プリロード値 - LD_PRELOAD 環境変数の値。

• ソケットパス - アクセスされた Docker ソケットへのパス。

• Runc バイナリパス - runc バイナリへのパス。

• リリースエージェントパス - cgroup リリースエージェントファイルへのパス。

• コマンドラインの例 – 潜在的に疑わしいアクティビティに関連するコマンドラインの例。

• ツールカテゴリ – ツールが属するカテゴリ。この例としては、Backdoor Tool、Pentest Tool、Network Scanner、Network Sniffer などがあります。

• ツール名 – 潜在的に疑わしいツールの名前。

• スクリプトパス – 検出結果を生成した実行済みスクリプトへのパス。

• 脅威ファイルパス – 脅威インテリジェンスの詳細が見つかった疑わしいパス。

• サービス名 – 無効化されたセキュリティサービスの名前。

• スキャン — マルウェアスキャンの識別子。

• スキャン開始日 — マルウェアスキャンが開始された日時。

• スキャン完了日 — 不正プログラムのスキャンの完了日時。

• Trigger Finding ID – このマルウェアスキャンを開始した検出結果の検出 GuardDuty 結果 ID。

• ソース – 想定される値は、Bitdefender と Amazon です。

  マルウェアの検出に使用されるスキャンエンジンの詳細については、「GuardDuty マルウェア検出スキャンエンジン」を参照してください。

• スキャン検出 — 各マルウェアスキャンの詳細と結果の全情報。

  • スキャンされたアイテム数 — スキャンされたファイルの合計数。totalGb、files、および volumes などの詳細を提供します。

  • 脅威が検出されたアイテム数 — スキャン中に検出された悪意のある files の合計数。

  • 最も重要度の高い脅威の詳細 — スキャン中に検出された、重要度が最も高い脅威の詳細と、悪意のあるファイルの数。severity、threatName、および count などの詳細を提供します。

  • 名前で検出された脅威 — すべての重要度レベルの脅威をグループ化するコンテナ要素。itemCount、uniqueThreatNameCount、shortened、および threatNames などの詳細を提供します。

• 名前 — 検出によってファイルをグループ化することによって取得された脅威の名前。

• 重要度 — 検出された脅威の重要度。

• Hash – ファイルの SHA-256。

• ファイルパス — EBSボリューム内の悪意のあるファイルの場所。

• ファイル名 — 脅威が検出されたファイルの名前。

• Volume ARN – スキャンされたEBSボリュームARNの 。

• スキャン — 不正プログラムスキャンのスキャン ID。

• スキャン開始日 — スキャンが開始された日時。

• スキャン完了日 — スキャンの完了日時。

• スキャンされたファイル — スキャンされたファイルとディレクトリの合計数。

• スキャンされた合計 GB — プロセス中にスキャンされたストレージの容量。

• 検出結果 ID のトリガー — このマルウェアスキャンを開始した検出 GuardDuty 結果の検出結果 ID。

• 次の情報は、詳細パネルの「ボリュームの詳細」のセクションでご覧になれます。

  • Volume ARN – ボリュームの Amazon リソースネーム (ARN）。

  • スナップショットARN – EBSボリュームARNのスナップショットの 。

  • ステータス — Running、Skipped、および Completed などのボリュームのスキャン状態。

  • 暗号化タイプ — ボリュームの暗号化に使用される暗号化のタイプ。例えば、CMCMK と指定します。

  • デバイス名 - デバイスの名前。例えば、/dev/xvda と指定します。

• 脅威 – マルウェアスキャン中に検出された脅威のリスト。

  アーカイブファイル内の複数の潜在的な脅威

  潜在的な脅威が複数含まれるアーカイブファイルがある場合、Malware Protection for S3 は最初に検出された脅威のみを報告します。その後、スキャンステータスは complete とマークされます。 は、関連する結果タイプ GuardDuty を生成し、生成された EventBridge イベントも送信します。 EventBridge イベントを使用した Amazon S3 オブジェクトスキャンのモニタリングの詳細については、 の THREATS_FOUND のサンプル通知スキーマを参照してくださいS3 オブジェクトスキャンの結果。

• 項目パス – スキャンされた S3 オブジェクトのネストされた項目パスとハッシュの詳細のリスト。

  • ネストされた項目パス – 脅威が検出されたスキャンされた S3 オブジェクトの項目パス。

    このフィールドの値は、最上位レベルのオブジェクトがアーカイブであり、アーカイブ内で脅威が検出された場合にのみ使用できます。

  • [ハッシュ] – この検出結果で検出された脅威のハッシュ。

• ソース – 想定される値は、Bitdefender と Amazon です。

  マルウェアの検出に使用されるスキャンエンジンの詳細については、「GuardDuty マルウェア検出スキャンエンジン」を参照してください。

• NETWORK_CONNECTION – 識別されたEC2インスタンスとリモートホストの間でネットワークトラフィックが交換されたことを示します。このアクションタイプには、次の追加情報が含まれています。

  • 接続方向 — 結果の生成 GuardDuty を に求めるアクティビティで確認されたネットワーク接続方向。これには、次のいずれかの値を指定できます。

    • INBOUND – リモートホストがアカウント内の識別されたEC2インスタンスのローカルポートへの接続を開始したことを示します。

    • OUTBOUND – 識別されたEC2インスタンスがリモートホストへの接続を開始したことを示します。

    • UNKNOWN – が接続の方向を判断 GuardDuty できなかったことを示します。

  • プロトコル – 結果の生成 GuardDuty を に求めるアクティビティで確認されたネットワーク接続プロトコル。

  • ローカル IP (ローカル IP) - 検出結果をトリガーしたトラフィックの元の送信元 IP アドレス。この情報を使用して、トラフィックが通過する中間レイヤーの IP アドレスと、検出結果をトリガーしたトラフィックの元の送信元 IP アドレスを区別します。例えば、EKSポッドが実行されているインスタンスの IP アドレスではなくEKS、 ポッドの IP アドレスです。

  • [ブロック] - ターゲットポートがブロックされているかどうかを示します。

• PORT_PROBE – リモートホストが複数の開いているポートで識別されたEC2インスタンスをプローブしたことを示します。このアクションタイプには、次の追加情報が含まれています。

  • ローカル IP - 検出結果をトリガーしたトラフィックの元の送信元 IP アドレス。この情報を使用して、トラフィックが通過する中間レイヤーの IP アドレスと、検出結果をトリガーしたトラフィックの元の送信元 IP アドレスを区別します。例えば、EKSポッドが実行されているインスタンスの IP アドレスではなくEKS、 ポッドの IP アドレスです。

  • [ブロック] - ターゲットポートがブロックされているかどうかを示します。

• DNS_REQUEST – 識別されたEC2インスタンスがドメイン名をクエリしたことを示します。このアクションタイプには、次の追加情報が含まれています。

  • プロトコル — 結果の生成 GuardDuty を に求めるアクティビティで確認されたネットワーク接続プロトコル。

  • [ブロック] - ターゲットポートがブロックされているかどうかを示します。

• AWS_API_CALL – APIが AWS 呼び出されたことを示します。このアクションタイプには、次の追加情報が含まれています。

  • API - 呼び出されたため、この結果の生成 GuardDuty を求められたAPIオペレーションの名前。

    注記

    これらのオペレーションには、 によってキャプチャされた API以外のイベントを含めることもできます AWS CloudTrail。詳細については、「 でキャプチャされた非 APIイベント CloudTrail」を参照してください。

  • ユーザーエージェント – APIリクエストを行ったユーザーエージェント。この値は、呼び出しが 、 AWS サービス AWS Management Console、、 AWS SDKsまたは のいずれから行われたかを示します AWS CLI。

  • ERROR CODE – 検出結果が失敗したAPI呼び出しによってトリガーされた場合、その呼び出しのエラーコードが表示されます。

  • サービス名 – 検出結果をトリガーしたAPI呼び出しを試みたサービスDNSの名前。

• RDS_LOGIN_ATTEMPT – リモート IP アドレスから侵害された可能性のあるデータベースへのログインが試行されたことを示します。

  • [IP アドレス] — 疑わしいログイン試行に使用されたリモート IP アドレス。

• 登録済み – リモートAPI発信者の AWS アカウントが GuardDuty 環境に関連しているかどうかに関する詳細。この値が の場合true、API呼び出し元は何らかの方法で アカウントに関連付けられます。 の場合false、API呼び出し元は 環境外からのものです。

• [リモートアカウント ID] – 最終的なネットワークでリソースにアクセスするために使用されたアウトバウンド IP アドレスを所有するアカウント ID。

• IP アドレス – 結果の生成 GuardDuty を に求めるアクティビティに関与した IP アドレス。

• Location – に結果の生成 GuardDuty を求めるアクティビティに関与した IP アドレスの位置情報。

• 組織 - 結果の生成 GuardDuty を に求めるアクティビティに関与した IP アドレスのISP組織情報。

• ポート – 結果の生成 GuardDuty を に求めるアクティビティに関連するポート番号。

• ドメイン – 結果の生成 GuardDuty を に求めるアクティビティに関与したドメイン。

• サフィックス付きのドメイン – 結果の生成を GuardDuty に求める可能性のあるアクティビティに関与した第 2 レベルと最上位レベルのドメイン。最上位ドメインとセカンドレベルドメインのリストについては、「public suffix list」を参照してください。

• 脅威リスト名 – 結果の生成 GuardDuty を に求めるアクティビティに関連する IP アドレスまたはドメイン名を含む脅威リストの名前。

• サンプル - サンプル検出結果であるかどうかを示す true または false の値。

• アーカイブ - 検出結果がアーカイブ済みかどうかを示す true または false の値。

• [異常] - 履歴で確認されていないアクティビティの詳細 これには、異常な (以前には確認されていない) ユーザー、場所、時間、バケット、ログイン動作、またはASN組織が含まれます。

• 異常なプロトコル — 結果の生成 GuardDuty を に求めるアクティビティに関与したネットワーク接続プロトコル。

• エージェントの詳細 – のEKSクラスターに現在デプロイされているセキュリティエージェントに関する詳細 AWS アカウント。これは Runtime Monitoring EKS の検出結果タイプにのみ適用されます。

  • エージェントバージョン — GuardDuty セキュリティエージェントのバージョン。

  • エージェント ID – GuardDuty セキュリティエージェントの一意の識別子。

• 脅威インテリジェンスの詳細 - 認識された Threat name が表示される脅威リストの名前。

• 脅威名 - 脅威に関連付けられているマルウェアファミリーの名前、またはその他の識別子。

• 脅威ファイル SHA256 – 結果を生成したSHA256ファイルの 。

• 異常 APIs — 検出結果に関連付けられたプライマリAPIリクエストの近くでユーザー ID によって呼び出されたAPIリクエストのリスト。このペインでは、次の方法でAPIイベントの詳細をさらに分類します。

  • 最初にAPIリストされているのはプライマリ です。プライマリ はAPI、最もリスクの高い観測アクティビティに関連付けられたAPIリクエストです。これは、検出結果をAPIトリガーし、検出結果タイプの攻撃ステージと相関する です。これは、コンソールのアクションセクションと結果の で詳細にAPI説明されている でもありますJSON。

  • APIs リストされている他の は、プライマリ の近くで観測されたリストされたユーザー ID APIsから追加の異常ですAPI。リストAPIに 1 つしかない場合、ML モデルはそのユーザー ID からの追加のAPIリクエストを異常として識別しませんでした。

  • のリストAPIsは、 が正常に呼び出APIされたかどうか、または が正常に呼び出APIされなかったかどうか、つまりエラーレスポンスが受信されたかどうかに基づいて分割されます。受信したエラーレスポンスのタイプは、 という失敗した各レスポンスの上に表示されますAPI。考えられるエラーレスポンスのタイプは、access denied、access denied exception、auth failure、instance limit exceeded、invalid permission - duplicate、invalid permission - not found、および operation not permitted です。

  • APIs は、関連するサービスによって分類されます。

  • 詳細については、履歴 APIs を選択して、上位 の詳細を最大 20 APIsまで表示します。通常、ユーザー ID とアカウント内のすべてのユーザーの両方に表示されます。APIs は、アカウント内で使用されている頻度に応じて、Rare (1 か月に 1 回未満）、低頻度 (1 か月に数回）、または高頻度 (毎日から毎週） とマークされます。

• [Unusual Behavior (Account)] (異常な動作 (アカウント)) - このセクションでは、アカウントでプロファイリングされた動作に関する詳細について説明します。

  プロファイルされた動作

  GuardDuty は、配信されたイベントに基づいて、アカウント内のアクティビティについて継続的に学習します。これらのアクティビティと観測されたその頻度は、プロファイルされた動作と呼ばれます。

  このパネルで追跡される情報は次のとおりです。

  • ASN 組織 – 異常なAPI呼び出しが行われた自律システム番号 (ASN) 組織。

  • ユーザー名 – 異常なAPI呼び出しを行ったユーザーの名前。

  • ユーザーエージェント - 異常なAPI呼び出しを行うために使用されたユーザーエージェント。ユーザーエージェントは、aws-cli または Botocore などのコールを行うために使用されるメソッドです。

  • ユーザータイプ – 異常なAPI呼び出しを行ったユーザーのタイプ。可能な値は、AWS_SERVICE、ASSUMED_ROLE、IAM_USER または ROLE です。

  • バケット — アクセスされている S3 バケットの名前。

• [Unusual Behavior (User Identity)] (異常な動作 (ユーザー ID)) - このセクションでは、検出に関与したユーザーアイデンティティのプロファイリングされた動作の詳細について説明します。動作が履歴として識別されない場合、ML GuardDuty モデルはトレーニング期間内にこの方法でこのユーザー ID がこのAPI呼び出しを行ったことを以前に確認していないことを意味します。ユーザーアイデンティティ に関する詳細については、次を参照してください。

  • ASN 組織 – 異常なAPI呼び出しが行われたASN組織。

  • ユーザーエージェント - 異常なAPI呼び出しを行うために使用されたユーザーエージェント。ユーザーエージェントは、aws-cli または Botocore などのコールを行うために使用されるメソッドです。

  • バケット — アクセスされている S3 バケットの名前。

• [Unusual Behavior (Bucket)] (異常な動作 (バケット)) - このセクションでは、検出結果に関連する、S3 バケットのプロファイリングされた動作に関する詳細について説明します。動作が履歴として識別されない場合、ML GuardDuty モデルはトレーニング期間内にこの方法でこのバケットに対して行われたAPI呼び出しを以前に確認していないことを意味します。このセクションで追跡される情報は次のとおりです。

  • ASN 組織 – 異常なAPI呼び出しが行われたASN組織。

  • ユーザー名 – 異常なAPI呼び出しを行ったユーザーの名前。

  • ユーザーエージェント - 異常なAPI呼び出しを行うために使用されたユーザーエージェント。ユーザーエージェントは、aws-cli または Botocore などのコールを行うために使用されるメソッドです。

  • ユーザータイプ – 異常なAPI呼び出しを行ったユーザーのタイプ。可能な値は、AWS_SERVICE、ASSUMED_ROLE、IAM_USER または ROLE です。

  注記

  過去の動作の詳細については、[異常な動作 (アカウント)]、[ユーザー ID]、または [バケット] セクションのいずれかで [過去の動作] を選択し、アカウント内での使用頻度に応じて、[頻度が低い (月に 1 回未満)]、[頻繁でない (月に数回)]、または [頻度が高い (毎日から毎週)] の各カテゴリーのアカウントで、想定される動作の詳細を表示します。

• 異常な動作 (データベース) - このセクションでは、検出結果に関連するデータベースインスタンスの、プロファイリングされた動作に関する詳細について説明します。動作が履歴として識別されない場合、ML GuardDuty モデルがトレーニング期間内にこの方法でこのデータベースインスタンスへのログイン試行を以前に確認していないことを意味します。検出結果パネルで追跡されるこのセクションの情報は次のとおりです。

  • [User name] (ユーザー名) - 異常なログイン試行に使用されたユーザー名

  • ASN 組織 – 異常なログイン試行が行われたASN組織。

  • [Application name] (アプリケーション名) — 異常なログイン試行に使用されたアプリケーション名

  • [データベース名] — 異常なログイン試行に関与したデータベースインスタンス名

  履歴動作セクションには、以前に確認された、関連付けられたデータベースのユーザー名、ASN組織、アプリケーション名、データベース名に関するコンテキストの詳細が表示されます。固有の値にはそれぞれ、ログインが成功した際にその値が確認された回数を示すカウントが関連付けられています。

• 異常動作 (アカウント Kubernetes クラスター、Kubernetes 名前空間、 Kubernetes ユーザー名) - このセクションでは、検出結果に関連する、Kubernetes クラスターと名前空間の、プロファイリングされた動作に関する詳細を説明します。動作が履歴として識別されない場合は、ML GuardDuty モデルがこのアカウント、クラスター、名前空間、またはユーザー名をこの方法で以前に確認していないことを意味します。検出結果パネルで追跡されるこのセクションの情報は次のとおりです。

  • ユーザー名 – 検出結果APIに関連付けられた Kubernetes を呼び出したユーザー。

  • 偽装されたユーザー名 – username に偽装されているユーザー。

  • 名前空間 – アクションが発生した Amazon EKSクラスター内の Kubernetes 名前空間。

  • ユーザーエージェント – Kubernetes APIコールに関連付けられたユーザーエージェント。ユーザーエージェントは、kubectl などのコールを行うために使用されるメソッドです。

  • API – Amazon EKSクラスターusername内で によってAPI呼び出される Kubernetes。

  • ASN 情報 – この呼び出しを行うユーザーの IP アドレスISPに関連付けられた Organization や などのASN情報。

  • 曜日 – Kubernetes API呼び出しが行われた曜日。

  • アクセス許可 – が Kubernetes をusername使用できるかどうかを示すためにアクセスがチェックされている Kubernetes 動詞とリソースAPI。

  • サービスアカウント名 – ワークロードに ID を提供する Kubernetes ワークロードに関連付けられたサービスアカウント。

  • レジストリ — Kubernetes ワークロードにデプロイした、コンテナイメージに関連付けられたコンテナレジストリ。

  • イメージ — Kubernetes ワークロードにデプロイされた、関連するタグやダイジェストを含まないコンテナイメージ。

  • イメージプレフィックス設定 — イメージを使用するコンテナの、hostNetwork または privileged などのコンテナとワークロードセキュリティ設定が有効になっているイメージプレフィックス。

  • サブジェクト名 — RoleBinding や ClusterRoleBinding 内の参照ロールにバインドされている user、group、serviceAccountName などのサブジェクト。

  • ロール名 – ロールまたは roleBinding の作成または変更に関係するロールの名前API。

• GetObject

• CopyObject.Read

• SelectObjectContent

• 影響を受けた S3 バケットに関連付けられたIAMユーザーまたはIAMロールによって過去 24 時間に呼び出されたs3-api-nameAPI呼び出しの数 (発行された呼び出しによって異なります）。

• 過去 24 時間にすべての S3 バケットに関連付けられたIAMユーザーまたはIAMロールによって呼び出されたs3-api-nameAPI呼び出しの数 (発行された呼び出しによって異なります）。

• 過去 24 時間の、影響を受ける S3 バケットに関連付けられたすべてのIAMユーザーまたはIAMロール (どのユーザーまたはロールが発行されたかによって異なります) のs3-api-nameAPI呼び出しの数。

• successfulLoginCount – このカウンターは、異常なアクターによってデータベースインスタンスに対して行われた正常な接続 (ログイン属性の正しい組み合わせ) の合計を表します。ログイン属性には、ユーザー名、パスワード、データベース名が含まれます。

• failedLoginCount – このカウンターは、データベースインスタンスへの接続を確立するために失敗した (失敗した) ログイン試行の合計を表します。これは、ユーザー名、パスワード、データベース名など、ログイン情報の組み合わせの属性が 1 つ以上、正しくなかったことを示します。

• incompleteConnectionCount – このカウンターは、成功または失敗として分類できない接続試行の数を表します。これらの接続は、データベースが応答する前に閉じられています。例えば、データベースポートは接続されているものの情報がデータベースに送信されないポートスキャンや、ログインが成功または失敗して完了する前に接続が中止された場合などです。