GuardDuty が使用する収集されたランタイムイベントタイプ

プロセス名

監視されたプロセスの名前。

プロセスパス

プロセスの実行可能ファイルの絶対パス。

プロセス ID

オペレーティングシステムによってプロセスに割り当てられた ID。

名前空間 PID

ホストレベルの PID 名前空間以外のセカンダリ PID 名前空間内のプロセスのプロセス ID。コンテナ内のプロセスの場合、コンテナ内で確認されるプロセス ID です。

プロセスユーザー ID

プロセスを実行したユーザーの固有 ID。

プロセス UUID。

GuardDuty によってプロセスに割り当てられた一意の ID。

プロセス GID。

プロセスグループのプロセス ID。

プロセス EGID。

プロセスグループの実効グループ ID。

プロセス EUID。

プロセスの実効ユーザー ID。

プロセスユーザー名

プロセスを実行したユーザー名。

プロセス開始時間

プロセスが作成された時間。このフィールドは、UTC 日付文字列形式 (2023-03-22T19:37:20.168Z)です。

プロセスの実行可能ファイル SHA-256

プロセスの実行可能ファイルの SHA256 ハッシュ。

プロセススクリプトパス

実行されたスクリプトファイルのパス。

プロセス環境変数

プロセスで利用可能になった環境変数。LD_PRELOAD および LD_LIBRARY_PATH のみ収集可能です。

プロセス現在の作業ディレクトリ (PWD)

プロセスの現在の作業ディレクトリ。

親プロセス

親プロセスのプロセス詳細。親プロセスとは、監視対象のプロセスを作成したプロセスです。

コマンドライン引数

現在、このフィールドはリソースタイプに対応する特定のエージェントバージョンに制限されています。

詳細については、「GuardDuty セキュリティエージェントのリリースバージョン」を参照してください。

プロセスの実行時に提供されるコマンドライン引数。このフィールドには機密の顧客データが含まれている可能性があります。

コンテナ名

コンテナの名前。

使用可能な場合、このフィールドには io.kubenetes.container.name ラベルの値が表示されます。

コンテナ UID

コンテナランタイムによって割り当てられたコンテナの固有の ID。

コンテナランタイム

コンテナの実行に使用されたコンテナランタイム (docker または containerd など)。

コンテナイメージ ID

コンテナのイメージの ID。

コンテナイメージ名

コンテナイメージの名前。

タスク Amazon リソースネーム (ARN)

タスクの ARN。

[クラスター名]

Amazon ECS クラスターの名前。

[Family Name] (姓)

タスク定義のファミリー名。family は、タスクを起動するために使用されるタスク定義の名前として使用されます。

サービス名

タスクがサービスの一部として起動された場合の Amazon ECS サービスの名前。

起動タイプ

タスクが実行されるインフラストラクチャ。ECSCluster のリソースタイプの Runtime Monitoring では、起動タイプは EC2 または FARGATE のどちらかになります。

CPU

タスク定義に示されている、タスクで使用される CPU ユニットの数。

ポッド ID

Kubernetes ポッドの ID。

ポッド名

Kubernetes ポッドの名前。

ポッド名前空間

Kubernetes ワークロードが属する Kubernetes 名前空間の名前。

Kubernetes クラスター名

Kubernetes クラスターの名前。

ソケットタイプ

通信セマンティクスを示すソケットのタイプ。例えば、SOCK_RAW と指定します。

アドレスファミリー

アドレスに関連付けられた通信プロトコルを示します。例えば、アドレスファミリー AF_INET は IP v4 プロトコルに使用されます。

方向 ID

接続方向の ID。

プロトコル番号

レイヤー 4 プロトコル番号。例えば UDP の場合は 17、TCP の場合は 6 です。

DNS リモートエンドポイント IP

接続のリモート IP。

DNS リモートエンドポイントポート

接続のポート番号。

DNS ローカルエンドポイント IP

接続のローカル IP。

DNS ローカルエンドポイントポート

接続のポート番号。

DNS ペイロード

DNS クエリと応答を含む DNS パケットのペイロード。

Filepath

このイベントで開かれるファイルのパス。

Flags

読み込み専用、書き込み専用、読み込み/書き込みなどのファイルアクセスモードについて説明します。

モジュール名

カーネルにロードされたモジュールの名前。

アドレス範囲

アクセス保護が変更されたアドレス範囲。

メモリ領域

スタックやヒープなど、プロセスのアドレス空間のリージョンを指定します。

Flags

このイベントの動作をコントロールするオプションを示します。

マウントターゲット

マウントソースがマウントされているパス。

マウントソース

マウントターゲットにマウントされているホスト上のパス。

ファイルシステムタイプ

マウントされているファイルシステムのタイプを示します。

Flags

このイベントの動作をコントロールするオプションを示します。

リンクパス

ハードリンクが作成されるパス。

ターゲットパス

ハードリンクが指すファイルのパス。

リンクパス

Symlink リンクが作成されるパス。

ターゲットパス

Symlink リンクが指すファイルのパス。

古いファイルディスクリプタ

開いているファイルオブジェクトを表すファイル記述子。

新規ファイルディスクリプタ

古いファイル記述子の複製である新しいファイル記述子。古いファイル記述子と新しいファイル記述子はどちらも同じ開いているファイルオブジェクトを示します。

Dup リモートエンドポイント IP

古いファイル記述子で表されるネットワークソケットのリモート IP アドレス。古いファイル記述子がネットワークソケットを示す場合にのみ適用されます。

Dup リモートエンドポイントポート

古いファイル記述子で表されるネットワークソケットのリモートポート。古いファイル記述子がネットワークソケットを示す場合にのみ適用されます。

Dup ローカルエンドポイント IP

古いファイルディスクリプタで表されるネットワークソケットのローカル IP アドレス。古いファイル記述子がネットワークソケットを示す場合にのみ適用されます。

Dup ローカルエンドポイントポート

古いファイル記述子で表されるネットワークソケットのローカルポート。古いファイル記述子がネットワークソケットを示す場合にのみ適用されます。

Filepath

メモリがマッピングされているファイルのパス。

アドレスファミリー

アドレスに関連付けられた通信プロトコルを示します。例えば、アドレスファミリー AF_INET は IP バージョンの 4 プロトコルに使用されます。

ソケットタイプ

通信セマンティクスを示すソケットのタイプ。例えば、SOCK_RAW と指定します。

プロトコル番号

アドレスファミリー内の特定のプロトコルを指定します。通常、アドレスファミリーには単一のプロトコルがあります。例えば、アドレスファミリー AF_INET には IP プロトコルしかありません。

アドレスファミリー

アドレスに関連付けられた通信プロトコルを示します。例えば、アドレスファミリー AF_INET は IP v4 プロトコルに使用されます。

ソケットタイプ

通信セマンティクスを示すソケットのタイプ。例えば、SOCK_RAW と指定します。

プロトコル番号

アドレスファミリー内の特定のプロトコルを指定します。通常、アドレスファミリーには単一のプロトコルがあります。例えば、アドレスファミリー AF_INET には IP プロトコルしかありません。

Filepath

アドレスファミリーが AF_UNIX の場合のソケットファイルのパス。

リモートエンドポイント IP

接続のリモート IP。

リモートエンドポイントポート

接続のポート番号。

ローカルエンドポイント IP

接続のローカル IP。

ローカルエンドポイントポート

接続のポート番号。

Flags

このイベントの動作をコントロールするオプションを示します。

ターゲット PID

メモリを読み込んでいるプロセスのプロセス ID。

ターゲットプロセスの UUID

ターゲットプロセスの一意の ID。

ターゲットの実行可能ファイルのパス

ターゲットプロセスの実行可能ファイルの絶対パス。

Flags

このイベントの動作をコントロールするオプションを示します。

ターゲット PID

メモリが書き込まれているプロセスのプロセス ID。

ターゲットプロセスの UUID

ターゲットプロセスの一意の ID。

ターゲットの実行可能ファイルのパス

ターゲットプロセスの実行可能ファイルの絶対パス。

ターゲット PID

ターゲットプロセスのプロセス ID。

ターゲットプロセスの UUID

ターゲットプロセスの一意の ID。

ターゲットの実行可能ファイルのパス

ターゲットプロセスの実行可能ファイルの絶対パス。

Flags

このイベントの動作をコントロールするオプションを示します。

アドレスファミリー

アドレスに関連付けられた通信プロトコルを示します。例えば、アドレスファミリー AF_INET は IP v4 プロトコルに使用されます。

ソケットタイプ

通信セマンティクスを示すソケットのタイプ。例えば、SOCK_RAW と指定します。

プロトコル番号

レイヤー 4 プロトコル番号。例えば UDP の場合は 17、TCP の場合は 6 です。

ローカルエンドポイント IP

接続のローカル IP。

ローカルエンドポイントポート

接続のポート番号。

アドレスファミリー

アドレスに関連付けられた通信プロトコルを示します。例えば、アドレスファミリー AF_INET は IP v4 プロトコルに使用されます。

ソケットタイプ

通信セマンティクスを示すソケットのタイプ。例えば、SOCK_RAW と指定します。

プロトコル番号

レイヤー 4 プロトコル番号。例えば UDP の場合は 17、TCP の場合は 6 です。

ローカルエンドポイント IP

接続のローカル IP。

ローカルエンドポイントポート

接続のポート番号。

Filepath

名前が変更されたファイルがあるパス。

Target

ファイルの新しいパス。

新しい EUID

プロセスの新しい実効ユーザー ID。

新しい UID

プロセスの新しいユーザー ID。

Filepath

このイベントを呼び出すファイルのパス。

Filemode

関連付けられたファイルの更新されたアクセス許可。