Detalhes da descoberta

• ID da conta — A ID da AWS conta na qual a atividade ocorreu que solicitou GuardDuty a geração dessa descoberta.

• Contagem — O número de vezes GuardDuty que agregou uma atividade que corresponde a esse padrão a essa ID de descoberta.

• Criada em: a data e hora em que esta descoberta foi criada pela primeira vez. Se esse valor for diferente de Atualizado em indica que a atividade ocorreu várias vezes e é um problema contínuo.

  nota

  Os carimbos de data e hora das descobertas no GuardDuty console aparecem em seu fuso horário local, enquanto as exportações JSON e as saídas de CLI exibem carimbos de data e hora em UTC.

• ID da descoberta: um ID exclusivo para este tipo de descoberta e conjunto de parâmetros. Novas ocorrências de atividades que correspondem a esse padrão serão agregadas ao mesmo ID.

• Tipo de descoberta: uma string formatada representando o tipo de atividade que acionou a descoberta. Para obter mais informações, consulte GuardDuty formato de busca.

• Região — A AWS região na qual a descoberta foi gerada. Para obter mais informações sobre as regiões compatíveis, consulte Regiões e endpoints

• ID do recurso — O ID do AWS recurso contra o qual a atividade ocorreu e que solicitou GuardDuty a geração dessa descoberta.

• ID de escaneamento — Aplicável às descobertas quando o GuardDuty Malware Protection for EC2 está ativado, é um identificador do escaneamento de malware executado nos volumes do EBS conectados à EC2 instância ou carga de trabalho do contêiner potencialmente comprometida. Para obter mais informações, consulte Proteção contra malware para EC2 encontrar detalhes.

• Gravidade — O nível de severidade atribuído a uma descoberta é Crítico, Alto, Médio ou Baixo. Para obter mais informações, consulte Níveis de gravidade das descobertas.

• Atualizado em — A última vez que essa descoberta foi atualizada com uma nova atividade correspondente ao padrão que levou GuardDuty à geração dessa descoberta.

• Visão geral — Fornece uma visão compacta dos detalhes da sequência de ataque, incluindo sinais, táticas do MITRE e recursos potencialmente afetados.

• Sinais — Exibe uma linha do tempo dos eventos envolvidos em uma sequência de ataque.

• Recursos — Fornece informações sobre os recursos potencialmente afetados ou os recursos que estão potencialmente em risco.

• Usuário: o nome de usuário usado para fazer a tentativa anômala de login.

• Aplicação: o nome da aplicação usada para fazer a tentativa anômala de login.

• Banco de dados: o nome da instância do banco de dados envolvida na tentativa anômala de login.

• SSL: a versão do Secure Socket Layer (SSL) usada para a rede.

• Método de autenticação: o método de autenticação usado pelo usuário envolvido na descoberta.

Detalhes do processo

• Nome: o nome do processo.

• Caminho do executável: o caminho absoluto do arquivo executável do processo.

• SHA-256 do executável: o hash SHA256 do executável do processo.

• PID do Namespace: o ID do processo em um namespace PID secundário diferente do namespace PID no nível do host. Para processos em um contêiner, é o ID do processo observado dentro do contêiner.

• Diretório de trabalho atual: o diretório de trabalho atual do processo.

• ID do processo: o ID atribuído ao processo pelo sistema operacional.

• startTime: a hora em que o processo foi iniciado. Está no formato de string de data UTC (2023-03-22T19:37:20.168Z).

• UUID — O ID exclusivo atribuído ao processo por. GuardDuty

• UUID principal: o ID exclusivo do processo principal. Essa ID é atribuída ao processo principal por GuardDuty.

• Usuário: o usuário que executou o processo.

• ID do usuário: o ID do usuário que executou o processo.

• ID de usuário efetivo: o ID de usuário efetivo do processo no momento do evento.

• Linhagem: informações sobre os ancestrais do processo.

  • ID do processo: o ID atribuído ao processo pelo sistema operacional.

  • UUID — O ID exclusivo atribuído ao processo por. GuardDuty

  • Caminho do executável: o caminho absoluto do arquivo executável do processo.

  • ID de usuário efetivo: o ID de usuário efetivo do processo no momento do evento.

  • UUID principal: o ID exclusivo do processo principal. Essa ID é atribuída ao processo principal por GuardDuty.

  • Hora de início: o hora em que o processo foi iniciado.

  • PID do Namespace: o ID do processo em um namespace PID secundário diferente do namespace PID no nível do host. Para processos em um contêiner, é o ID do processo observado dentro do contêiner.

  • ID do usuário: o ID do usuário que executou o processo.

  • Nome: o nome do processo.

Contexto de runtime

Com os campos a seguir, uma descoberta gerada pode incluir somente os campos relevantes para o tipo de descoberta.

• Origem de montagem: o caminho no host que é montado pelo contêiner.

• Destino de montagem: o caminho no contêiner que é mapeado para o diretório do host.

• Tipo de sistema de arquivos: representa o tipo do sistema de arquivos montado.

• Sinalizadores: representam opções que controlam o comportamento do evento envolvido nessa descoberta.

• Processo de modificação: informações sobre o processo que criou ou modificou um binário, script ou biblioteca dentro de um contêiner no runtime.

• Modificado em: o carimbo de data/hora em que o processo criou ou modificou um binário, script ou biblioteca dentro de um contêiner no runtime. Esse campo está no formato de string de data UTC (2023-03-22T19:37:20.168Z).

• Caminho da biblioteca: o caminho para a nova biblioteca que foi carregada.

• Valor de LD Preload: o valor da variável de ambiente LD_PRELOAD.

• Caminho do soquete: o caminho para o soquete do Docker que foi acessado.

• Caminho do binário Runc: o caminho para o binário runc.

• Caminho do agente de liberação: o caminho para o arquivo do agente de liberação cgroup.

• Exemplo de linha de comando — O exemplo da linha de comando envolvida na possível atividade suspeita.

• Categoria da ferramenta — Categoria à qual a ferramenta pertence. Alguns dos exemplos são Backdoor Tool, Pentest Tool, Network Scanner e Network Sniffer.

• Nome da ferramenta — O nome da ferramenta possivelmente suspeita.

• Caminho do script — O caminho para o script executado que gerou a descoberta.

• Caminho do arquivo da ameaça — O caminho suspeito cujos detalhes de inteligência contra ameaças foram encontrados.

• Nome do serviço — O nome do serviço de segurança que foi desabilitado.

• ID da verificação: o identificador da verificação de malware.

• Verificação começou em: a data e a hora em que a verificação de malware foi iniciado.

• Verificação concluída em: a data e hora em que foi concluída a verificação de malware.

• Trigger Finding ID — O ID de GuardDuty descoberta da descoberta que iniciou essa verificação de malware.

• Fontes — Os valores potenciais são Bitdefender e Amazon.

  Para obter mais informações sobre o mecanismo de verificação usado para detectar malware, consulte GuardDuty mecanismo de verificação de detecção de malware.

• Detecções de verificações: a visão completa dos detalhes e resultados de cada verificação de malware.

  • Contagem de itens verificados: o número total de arquivos verificados. Fornece detalhes como totalGb, files e volumes.

  • Contagem de itens detectados por ameaças: o número total de files mal-intencionados detectados durante a verificação.

  • Detalhes da ameaça de maior gravidade: os detalhes da ameaça de maior gravidade detectada durante a verificação e o número de arquivos mal-intencionados. Fornece detalhes como severity, threatName e count.

  • Ameaças detectadas por nome: o elemento de contêiner que agrupa ameaças de todos os níveis de gravidade. Fornece detalhes como itemCount, uniqueThreatNameCount,shortened e threatNames.

• Nome: o nome da ameaça, obtido ao agrupar os arquivos por detecção.

• Gravidade: a gravidade da ameaça detectada.

• Hash: o hash SHA-256 do arquivo.

• Caminho do arquivo: a localização do arquivo mal-intencionado no volume do EBS.

• Nome do arquivo: o nome do arquivo em que a ameaça foi detectada.

• ARN do volume: o ARN dos volumes do EBS verificados.

• ID de verificação: o ID de verificação da verificação de malware.

• Verificação começou em: a data e a hora em que a verificação foi iniciada.

• Verificação concluída em: a data e a hora em que a verificação foi concluída.

• Arquivos verificados: o número total de arquivos e diretórios verificados.

• Total de GB verificados: a quantidade de armazenamento verificada durante o processo.

• ID de descoberta do gatilho — O ID de GuardDuty descoberta da descoberta que iniciou essa verificação de malware.

• As informações exibidas a seguir estão disponíveis na seção Detalhes do volume no painel de detalhes.

  • ARN do volume: o nome do recurso da Amazon (ARN) do volume.

  • SnapshotARN: o ARN do snapshot do volume do EBS.

  • Status: o status de verificação do volume, comoRunning, Skipped e Completed.

  • Tipo de criptografia: o tipo de criptografia usado para criptografar o volume. Por exemplo, CMCMK.

  • Nome do dispositivo: o nome do dispositivo. Por exemplo, /dev/xvda.

• Ameaças — Uma lista das ameaças detectadas durante a verificação do malware.

  Várias ameaças potenciais em arquivos.

  Se você tiver um arquivo com várias ameaças potenciais, a Proteção contra Malware para S3 reportará somente a primeira ameaça detectada. Depois disso, o status da verificação é marcado como concluído. GuardDuty gera o tipo de descoberta associado e também envia EventBridge os eventos que ele gera. Para obter mais informações sobre o monitoramento das varreduras de objetos do Amazon S3 usando os EventBridge eventos, consulte o exemplo de esquema de notificação para THREATS_FOUND em. Resultado da verificação de objetos do S3

• Caminho do item — Uma lista do caminho do item aninhado e dos detalhes de hash do objeto S3 escaneado.

  • Caminho do item aninhado — Caminho do item do objeto S3 escaneado em que a ameaça foi detectada.

    O valor desse campo só estará disponível se o objeto de nível superior for um arquivo e se a ameaça for detectada dentro de um arquivo.

  • Hash — Hash da ameaça detectada nesta descoberta.

• Fontes — Os valores potenciais são Bitdefender e Amazon.

  Para obter mais informações sobre o mecanismo de verificação usado para detectar malware, consulte GuardDuty mecanismo de verificação de detecção de malware.

• NETWORK_CONNECTION — Indica que o tráfego de rede foi trocado entre a EC2 instância identificada e o host remoto. Esse tipo de ação tem as seguintes informações adicionais:

  • Direção da conexão — A direção da conexão de rede observada na atividade que levou GuardDuty à geração da descoberta. Os valores podem ser:

    • ENTRADA — Indica que um host remoto iniciou uma conexão com uma porta local na EC2 instância identificada em sua conta.

    • SAÍDA — Indica que a EC2 instância identificada iniciou uma conexão com um host remoto.

    • DESCONHECIDO — Indica que não GuardDuty foi possível determinar a direção da conexão.

  • Protocolo — O protocolo de conexão de rede observado na atividade que levou GuardDuty à geração da descoberta.

  • IP local: o endereço IP de origem original do tráfego que acionou a descoberta. Essas informações podem ser usadas para fazer a distinção entre o endereço IP de uma camada intermediária pela qual o tráfego flui e o endereço IP de origem original do tráfego que acionou a descoberta. Por exemplo, o endereço IP de um pod do EKS em oposição ao endereço IP da instância em que o pod do EKS está sendo executado.

  • Bloqueado: indica se a porta de destino está bloqueada.

• PORT_PROBE — Indica que um host remoto sondou a EC2 instância identificada em várias portas abertas. Esse tipo de ação tem as seguintes informações adicionais:

  • IP local: o endereço IP de origem original do tráfego que acionou a descoberta. Essas informações podem ser usadas para fazer a distinção entre o endereço IP de uma camada intermediária pela qual o tráfego flui e o endereço IP de origem original do tráfego que acionou a descoberta. Por exemplo, o endereço IP de um pod do EKS em oposição ao endereço IP da instância em que o pod do EKS está sendo executado.

  • Bloqueado: indica se a porta de destino está bloqueada.

• DNS_REQUEST — Indica que a EC2 instância identificada consultou um nome de domínio. Esse tipo de ação tem as seguintes informações adicionais:

  • Protocolo — O protocolo de conexão de rede observado na atividade que levou GuardDuty à geração da descoberta.

  • Bloqueado: indica se a porta de destino está bloqueada.

• AWS_API_CALL — Indica que uma AWS API foi invocada. Esse tipo de ação tem as seguintes informações adicionais:

  • API — O nome da operação de API que foi invocada e, portanto, solicitada GuardDuty para gerar essa descoberta.

    nota

    Essas operações também podem incluir eventos que não são de API capturados pelo AWS CloudTrail. Para obter mais informações, consulte Eventos não relacionados à API capturados por CloudTrail.

  • Agente do usuário: o agente do usuário que fez a solicitação da API. Esse valor informa se a chamada foi feita a partir do AWS Management Console, AWS de um serviço AWS SDKs, do ou do AWS CLI.

  • CÓDIGO DE ERRO: se a descoberta foi acionada por uma falha na chamada de API, o código de erro dessa chamada será exibido.

  • Nome do serviço: o nome DNS do serviço que tentou fazer a chamada de API que acionou a descoberta.

• RDS_LOGIN_ATTEMPT: indica que foi feita uma tentativa de login no banco de dados potencialmente comprometido de um endereço IP remoto.

  • Endereço IP: o endereço IP remoto usado para fazer a tentativa de login potencialmente suspeita.

• Afiliado — Detalhes sobre se a AWS conta do chamador remoto da API está relacionada ao seu GuardDuty ambiente. Se esse valor for true, o chamador da API está afiliado à sua conta de alguma forma. Se for false, o chamador da API é de fora do seu ambiente.

• ID da conta remota: o ID da conta que possui o endereço IP de saída usado para acessar o recurso na rede final.

• Endereço IP — O endereço IP envolvido na atividade que levou GuardDuty à geração da descoberta.

• Localização — Informações de localização do endereço IP envolvido na atividade que levou GuardDuty à geração da descoberta.

• Organização — informações da organização do ISP sobre o endereço IP envolvido na atividade que levou GuardDuty à geração da descoberta.

• Porta — O número da porta envolvida na atividade que levou GuardDuty à geração da descoberta.

• Domínio — O domínio envolvido na atividade que levou GuardDuty à geração da descoberta.

• Domínio com sufixo — O domínio de segundo e primeiro nível envolvido em uma atividade que potencialmente levou GuardDuty à geração da descoberta. Para obter uma lista de domínios de primeiro e segundo nível, consulte a lista pública de sufixos.

• Nome da lista de ameaças — O nome da lista de ameaças que inclui o endereço IP ou o nome de domínio envolvido na atividade que levou GuardDuty à geração da descoberta.

• Amostra: um valor verdadeiro ou falso que indica se é uma descoberta de amostra.

• Arquivada: um valor verdadeiro ou falso que indica se essa descoberta foi arquivada.

• Incomum: detalhes da atividade que não foram observados historicamente. Eles podem incluir um usuário, local, hora, bucket, comportamento de login ou ASN Org incomum (não observado anteriormente).

• Protocolo incomum — O protocolo de conexão de rede envolvido na atividade que levou GuardDuty à geração da descoberta.

• Detalhes do agente: detalhes sobre o agente de segurança que está atualmente implantado no cluster do EKS em sua Conta da AWS. Isso só se aplica aos tipos de descoberta do Monitoramento de runtime do EKS.

  • Versão do agente — A versão do agente GuardDuty de segurança.

  • ID do agente — O identificador exclusivo do agente GuardDuty de segurança.

• Detalhes da inteligência de ameaças: o nome da lista de ameaças na qual o Threat name reconhecido aparece.

• Nome da ameaça: o nome da família de malware, ou outro identificador, associado à ameaça.

• Arquivo de ameaças SHA256 — SHA256 do arquivo que gerou a descoberta.

• Anômalo APIs — Uma lista de solicitações de API que foram invocadas pela identidade do usuário nas proximidades da solicitação de API primária associada à descoberta. Esse painel traz ainda mais detalhes do evento da API das maneiras a seguir.

  • A primeira API listada é a API primária, que é a solicitação de API associada à atividade de maior risco observada. Essa é a API que acionou a descoberta e se correlaciona ao estágio de ataque do tipo de descoberta. Essa também é a API detalhada na seção Ação do console e no JSON da descoberta.

  • Todas as outras APIs listadas são mais anômalas em APIs relação à identidade de usuário listada observada nas proximidades da API primária. Se houver apenas uma API na lista, o modelo de machine learning não identificou nenhuma solicitação de API adicional dessa identidade de usuário como anômala.

  • A lista de APIs é dividida com base no fato de uma API ter sido chamada com sucesso ou se a API foi chamada sem sucesso, o que significa que uma resposta de erro foi recebida. O tipo de resposta de erro recebida está listado acima de cada API chamada sem êxito. Os possíveis tipos de resposta de erro são: access denied, access denied exception, auth failure, instance limit exceeded, invalid permission - duplicate, invalid permission - not found e operation not permitted.

  • APIs são categorizados pelo serviço associado.

  • Para obter mais contexto, escolha Histórico APIs para ver os detalhes sobre o topo APIs, até um máximo de 20, geralmente vistos tanto para a identidade do usuário quanto para todos os usuários da conta. Eles APIs são marcados como Raros (menos de uma vez por mês), Infrequentes (algumas vezes por mês) ou Frequentes (diariamente a semanalmente), dependendo da frequência com que são usados em sua conta.

• Comportamento incomum (conta): esta seção fornece detalhes adicionais sobre o comportamento descrito para a conta.

  Comportamento de perfil

  GuardDuty aprende continuamente sobre as atividades em sua conta com base nos eventos entregues. Essas atividades e sua frequência observada são conhecidas como comportamento de perfil.

  As informações rastreadas nesse painel incluem:

  • ASN Org: o número de sistema autônomo (ASN) da Org da qual a chamada de API anômala foi feita.

  • Nome de usuário: o nome do usuário que fez a chamada de API anômala.

  • Agente do usuário: o agente do usuário usado para fazer a chamada de API anômala. O agente do usuário é o método usado para fazer a chamada, como aws-cli ou Botocore.

  • Tipo de usuário: o tipo de usuário que fez a chamada de API anômala. Os valores possíveis são AWS_SERVICE, ASSUMED_ROLE, IAM_USER ou ROLE.

  • Bucket: o nome do bucket do S3 que está sendo acessado.

• Comportamento incomum (identidade do usuário): esta seção fornece detalhes adicionais sobre o comportamento descrito para a identidade do usuário envolvida na descoberta. Quando um comportamento não é identificado como histórico, isso significa que o modelo de GuardDuty ML não viu anteriormente essa identidade de usuário fazendo essa chamada de API dessa forma durante o período de treinamento. Estes detalhes adicionais sobre a identidade do usuário estão disponíveis:

  • ASN Org: o ASN Org do qual a chamada de API anômala foi feita.

  • Agente do usuário: o agente do usuário usado para fazer a chamada de API anômala. O agente do usuário é o método usado para fazer a chamada, como aws-cli ou Botocore.

  • Bucket: o nome do bucket do S3 que está sendo acessado.

• Comportamento incomum (bucket): esta seção fornece detalhes adicionais sobre o comportamento perfilado do bucket do S3 associado à descoberta. Quando um comportamento não é identificado como histórico, isso significa que o modelo de GuardDuty ML não viu anteriormente chamadas de API feitas para esse bucket dessa forma durante o período de treinamento. As informações rastreadas nessa seção incluem:

  • ASN Org: o ASN Org do qual a chamada de API anômala foi feita.

  • Nome de usuário: o nome do usuário que fez a chamada de API anômala.

  • Agente do usuário: o agente do usuário usado para fazer a chamada de API anômala. O agente do usuário é o método usado para fazer a chamada, como aws-cli ou Botocore.

  • Tipo de usuário: o tipo de usuário que fez a chamada de API anômala. Os valores possíveis são AWS_SERVICE, ASSUMED_ROLE, IAM_USER ou ROLE.

  nota

  Para obter mais contexto sobre comportamentos históricos, selecione Comportamento histórico na seção Comportamento incomum (Conta), ID de usuário ou Bucket para ver detalhes sobre o comportamento esperado em sua conta para cada uma das seguintes categorias: Raro (menos de uma vez por mês), Infrequente (algumas vezes por mês) ou Frequente (diário ou semanal), dependendo da frequência em que são usados em sua conta.

• Comportamento incomum (banco de dados): essa seção fornece detalhes adicionais sobre o comportamento perfilado da instância do banco de dados associada à descoberta. Quando um comportamento não é identificado como histórico, isso significa que o modelo de GuardDuty ML não viu anteriormente uma tentativa de login feita nessa instância de banco de dados dessa forma durante o período de treinamento. As informações rastreadas para essa seção no painel de descoberta incluem:

  • Nome de usuário: o nome de usuário usado para fazer a tentativa anômala de login.

  • ASN Org: o ASN Org da qual a tentativa anômala de login foi feita.

  • Nome da aplicação: o nome da aplicação usada para fazer a tentativa anômala de login.

  • Nome do banco de dados: o nome da instância do banco de dados envolvida na tentativa de login anômala.

  A seção Comportamento histórico fornece mais contexto sobre os nomes de usuário, ASN Orgs, nomes de aplicações e nomes de bancos de dados observados anteriormente para o banco de dados associado. Cada valor exclusivo possui uma contagem associada que representa o número de vezes que esse valor foi observado em um evento de login bem-sucedido.

• Comportamento incomum (cluster do Kubernetes da conta, namespace do Kubernetes e nome de usuário do Kubernetes): essa seção fornece mais detalhes sobre o comportamento do perfil do cluster e do namespace do Kubernetes associado à descoberta. Quando um comportamento não é identificado como histórico, isso significa que o modelo de GuardDuty ML não observou anteriormente essa conta, cluster, namespace ou nome de usuário dessa forma. As informações rastreadas para essa seção no painel de descoberta incluem:

  • Nome de usuário: o usuário que chamou a API do Kubernetes associada à descoberta.

  • Nome do usuário personificado: o usuário que está sendo personificado por username.

  • Namespace: o namespace do Kubernetes dentro do cluster Amazon EKS em que a ação ocorreu.

  • Agente do usuário: o agente do usuário associado à chamada de API do Kubernetes. O agente do usuário é o método usado para fazer a chamada, como kubectl.

  • API: a API do Kubernetes chamada pelo username dentro do cluster do Amazon EKS.

  • Informações de ASN: as informações de ASN, como organização e ISP, associadas ao endereço IP do usuário que está fazendo essa chamada.

  • Dia da semana: o dia da semana em que a chamada de API do Kubernetes foi feita.

  • Permissão: o verbo e o recurso do Kubernetes que estão sendo verificados quanto ao acesso para indicar se o username pode ou não usar a API do Kubernetes.

  • Nome da conta de serviço: a conta de serviço associada à workload do Kubernetes que fornece uma identidade à workload.

  • Registro: o registro do contêiner associado à imagem do contêiner que é implantada na workload do Kubernetes.

  • Imagem: a imagem do contêiner, sem as tags e o resumo associados, que é implantada na workload do Kubernetes.

  • Configuração de prefixo de imagem: o prefixo da imagem com o contêiner e a configuração de segurança da workload habilitados, como hostNetwork ou privileged, para o contêiner que usa a imagem.

  • Nome do assunto: os assuntos, como um user, group ou serviceAccountName que estão vinculados a uma função de referência em um RoleBinding ou ClusterRoleBinding.

  • Nome da função: o nome da função envolvida na criação ou modificação das funções ou da API roleBinding.

• GetObject

• CopyObject.Read

• SelectObjectContent

• Número de chamadas da API s3-api-name invocadas pelo usuário do IAM ou pelo perfil do IAM (depende de qual deles foi emitido) associados ao bucket do S3 afetado nas últimas 24 horas.

• Número de chamadas da API s3-api-name invocadas pelo usuário do IAM ou pelo perfil do IAM (depende de qual deles foi emitido) associados a todos os buckets do S3 nas últimas 24 horas.

• Número de chamadas da API s3-api-name em todos os usuários ou perfis do IAM (depende de qual deles foi emitido) associados ao bucket do S3 afetado nas últimas 24 horas.

• successfulLoginCount— Esse contador representa a soma das conexões bem-sucedidas (combinação correta de atributos de login) feitas na instância do banco de dados pelo ator incomum. Os atributos de login incluem o nome de usuário, a senha e o nome do banco de dados.

• failedLoginCount— Esse contador representa a soma das tentativas de login malsucedidas feitas para estabelecer uma conexão com a instância do banco de dados. Isso indica que um ou mais atributos da combinação de login, como o nome de usuário, a senha ou o nome do banco de dados, estavam incorretos.

• incompleteConnectionCount— Esse contador representa o número de tentativas de conexão que não podem ser classificadas como bem-sucedidas ou malsucedidas. Essas conexões são encerradas antes que o banco de dados forneça uma resposta. Por exemplo, verificação de portas em que a porta do banco de dados está conectada, mas nenhuma informação é enviada ao banco de dados, ou a conexão foi interrompida antes que o login fosse concluído em uma tentativa bem-sucedida ou malsucedida.