本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
调查发现详细信息
在 Amazon GuardDuty 控制台中，您可以在查找结果摘要部分查看查找详情。调查发现详细信息因调查发现类型而异。
有两类主要详细信息，用于确定哪些类型的信息可用于任何调查发现。第一个是资源类型，可以是Instance、、AccessKey、S3Bucket、S3Object、Kubernetes
cluster、ECS cluster、ContainerRDSDBInstance、RDSLimitlessDB、或Lambda。决定调查发现信息的第二类详细信息是资源角色。资源角色可以是 Target，表示该资源是可疑活动的目标。对于实例类型的调查发现，资源角色也可以是 Actor，这意味着您的资源是进行可疑活动的行动者。本主题介绍调查发现的一些常见可用详细信息。对于GuardDuty 运行时监控查找类型和 S3 恶意软件防护调查发现类型，资源角色未填充。
主题
调查发现概览
调查发现的概览部分包含该调查发现最基本的识别特征，包括以下信息：
-
账户 ID — 发生活动并提示 GuardDuty 生成此调查结果的 AWS 账户的 ID。
-
计数-汇总 GuardDuty 与此发现 ID 匹配此模式的活动的次数。
-
创建时间：首次创建此调查发现的时间和日期。如果此值与更新时间不同，则表示该活动已多次发生，是一个持续的问题。
注意
GuardDuty 控制台中查找结果的时间戳以您的本地时区显示，而JSON导出和CLI输出显示的时间戳则显示在中。UTC
-
调查发现 ID：此调查发现类型和参数集的唯一标识符。与此模式匹配的新活动实例将聚合到同一 ID 中。
-
调查发现类型：表示触发调查发现的活动类型的格式化字符串。有关更多信息，请参阅 GuardDuty 调查发现格式。
-
区域-生成发现的 AWS 区域。有关支持的区域的更多信息，请参阅区域和端点。
-
资源 ID — 活动所针对的 AWS 资源的 ID，提示生成 GuardDuty 此调查结果。
-
扫描 ID-适用于启用 GuardDuty 恶意软件防护时的发现，这是在连接到可能受感染的EC2实例或容器工作负载的EBS卷上运行的恶意软件扫描的标识符。EC2有关更多信息，请参阅 用于EC2查找详细信息的恶意软件防护。
-
严重性-调查结果的指定严重性级别为 “严重”、“高”、“中” 或 “低”。有关更多信息，请参阅 调查发现的严重性级别。
-
更新时间 — 上次更新此发现的时间，新活动与提示生成此发现 GuardDuty的模式相匹配。
资源
“受影响的资源” 提供了有关启动活动所针对的 AWS 资源的详细信息。可用信息因资源类型和操作类型而异。
资源角色-启动查找结果的 AWS 资源的角色。此值可以是TARGET或 ACTOR，表示您的资源是可疑活动的目标还是执行可疑活动的行为者。
资源类型：受影响资源的类型。如果涉及多个资源，则调查发现可能包括多种资源类型。资源类型包括实例、S3Bucket AccessKey、S3 Object、、、C ontainer KubernetesCluster、ECSCluster、和 L am bda RDSDBInstance。RDSLimitlessDB根据资源类型，将提供不同的调查发现详细信息。选择资源选项卡，了解该资源的可用详细信息。
攻击序列查找细节
GuardDuty 提供了它在您的账户中生成的每项发现的详细信息。这些细节可帮助您了解发现背后的原因。本节重点介绍与之相关的详细信息攻击序列查找类型。这包括发现中涉及的潜在受影响的资源、事件时间表、指标、信号和终点等见解。
要查看与已 GuardDuty 发现的信号相关的详细信息，请参阅本页上的相关部分。
在 GuardDuty 控制台中，当您选择攻击序列查找结果时，详细信息侧面板分为以下选项卡：
-
概述-提供攻击顺序详细信息的简要视图，包括信号、MITRE战术和可能受影响的资源。
-
信号-显示攻击序列中涉及的事件的时间表。
-
资源-提供有关可能受影响的资源或可能面临风险的资源的信息。
以下列表提供了与攻击序列查找详细信息相关的描述。
- 信号
-
信号可以是 GuardDuty用于检测攻击序列发现的API活动或发现。 GuardDuty 考虑那些没有表现为明显威胁的微弱信号，将它们拼凑在一起，并与单独得出的发现相关联。如需更多背景信息，“信号” 选项卡提供了信号的时间表，如所示 GuardDuty。
每个信号，即 GuardDuty 发现，都有自己的严重程度和分配给它的值。在 GuardDuty 控制台中，您可以选择每个信号以查看相关的详细信息。
- 演员们
-
提供有关攻击序列中威胁参与者的详细信息。有关更多信息，请参阅 Amazon GuardDuty API 参考中的参与者。
- 端点
-
提供有关此攻击序列中使用的网络端点的详细信息。有关更多信息，请参阅 Amazon GuardDuty API 参考NetworkEndpoint中的。有关如何 GuardDuty 确定位置的信息，请参阅地理位置详情。
- 指标
-
包括与安全问题模式相匹配的观察数据。这些数据说明了为什么 GuardDuty 有迹象表明存在潜在的可疑活动。例如，当指标名称为时
HIGH_RISK_API，这表示威胁行为者常用的操作，或者可能对造成潜在影响的敏感操作 AWS 账户，例如访问证书或修改资源。下表列出了可能的指标及其说明：
指标名称 描述 SUSPICIOUS_USER_AGENT用户代理与可能已知的可疑或被利用的应用程序相关联，例如 Amazon S3 客户端和攻击工具。
SUSPICIOUS_NETWORK该网络与已知的低信誉分数相关联，例如有风险的虚拟专用网络 (VPN) 提供商和代理服务。
MALICIOUS_IPIP 地址已确认表明有恶意意图的威胁情报。
TOR_IPIP 地址与一个 Tor 出口节点相关联。
HIGH_RISK_API包括 AWS 服务 名称并
eventName表示威胁行为者常用的操作，或者是可能对威胁行为者造成潜在影响的敏感操作 AWS 账户，例如凭据访问或资源修改。 AWS APIATTACK_TACTICMITRE战术，例如 Discovery 和 Imp act。
ATTACK_TECHNIQUE威胁行为者在攻击序列中使用的MITRE技术。例如，获取资源访问权限并以非预期的方式使用它们，以及利用漏洞。
UNUSUAL_API_FOR_ACCOUNT根据账户的历史基线，表示 AWS API被异常调用。有关更多信息，请参阅 异常行为。
UNUSUAL_ASN_FOR_ACCOUNT表示根据账户的历史基线，自治系统编号 (ASN) 被识别为异常。有关更多信息，请参阅 异常行为。
UNUSUAL_ASN_FOR_USER表示根据用户的历史基线，自治系统编号 (ASN) 被识别为异常。有关更多信息，请参阅 异常行为。
MITRE战术
此字段指定威胁行为者在攻击序列中尝试使用的 MITRE ATT &CK 策略。 GuardDuty 使用 MITREATT& ACK 框架为整个攻击序列添加上下文。 GuardDuty 控制台用于指定威胁行为者已使用的威胁目的的颜色与表示临界、高、中和低的颜色一致调查发现的严重性级别。
- 网络指示器
-
指标包括网络指标值的组合，这些值解释了为什么网络表示存在可疑行为。本节仅在指标包含
SUSPICIOUS_NETWORK或时适用MALICIOUS_IP。以下示例显示了如何将网络指示器与指标相关联，其中：-
AnyCompany是一个自治系统 (AS)。 -
TUNNEL_VPN、IS_ANONYMOUS、和ALLOWS_FREE_ACCESS是网络指示器。
...{ "key": "SUSPICIOUS_NETWORK", "values": [{ "AnyCompany": [ "TUNNEL_VPN", "IS_ANONYMOUS", "ALLOWS_FREE_ACCESS" ] }] } ...下表包括网络指标值及其描述。这些标签是根据从 Spur 等来源 GuardDuty 收集的威胁情报添加的
网络指示器值 描述 TUNNEL_VPN网络或 IP 地址与VPN隧道类型相关联。这是指一种特定的协议，它有助于通过公共网络在两点之间建立安全、加密的连接。
TUNNEL_PROXY网络或 IP 地址与代理隧道类型相关联。这是指一种帮助通过代理服务器建立连接的特定协议。
TUNNEL_RDP网络或 IP 地址与使用一种将远程桌面 (RDP) 流量封装在其他协议中的方法相关联，以增强安全性、绕过网络限制或启用通过防火墙进行远程访问。
IS_ANONYMOUS网络或 IP 地址与已知的匿名服务或代理服务相关联。这可能表明隐藏在匿名网络后面的潜在可疑活动。
KNOWN_THREAT_OPERATOR网络或 IP 地址与已知的风险隧道提供商关联。这表示已从链接到VPN、代理或其他经常用于恶意目的的隧道服务的 IP 地址中检测到可疑活动。
ALLOWS_FREE_ACCESS网络或 IP 地址与隧道运营商相关联，该运营商无需身份验证或付款即可访问其服务。它还可能包括各种在线服务提供的试用账户或有限的使用体验。
ALLOWS_CRYPTO网络或 IP 地址与专门接受加密货币VPN或其他数字货币作为支付方式的隧道提供商（例如或代理服务）相关联。
ALLOWS_TORRENTS网络或 IP 地址与允许 torrent 流量的服务或平台相关联。此类服务通常与支持和使用torrent以及规避版权的活动有关。
RISK_CALLBACK_PROXY网络或 IP 地址与已知可以为住宅代理、恶意软件代理或其他回调代理类型网络路由流量的设备相关联。这并不意味着网络上的所有活动都与代理有关，而是网络能够代表这些代理网络路由流量。
RISK_GEO_MISMATCH该指标表明网络的数据中心或托管位置与其后面的用户和设备的预期位置不同。如果此指标值不存在，则并不意味着没有不匹配。这可能意味着没有足够的数据来证实这种差异。
IS_SCANNER网络或 IP 地址与对 Web 表单进行持续登录尝试有关。
RISK_WEB_SCRAPINGIP 地址网络与自动化 Web 客户端和其他编程 Web 活动相关联。
CLIENT_BEHAVIOR_FILE_SHARING网络或 IP 地址与表示文件共享活动的客户端行为相关联，例如 peer-to-peer (P2P) 网络或文件共享协议。
CATEGORY_COMMERCIAL_VPN网络或 IP 地址与隧道运营商相关联，该运营商被归类为在数据中心空间内运行的传统商业虚拟专用网络 (VPN) 服务。
CATEGORY_FREE_VPN网络或 IP 地址与被归类为完全免费VPN服务的隧道运营商相关联。
CATEGORY_RESIDENTIAL_PROXY网络或 IP 地址与被归类为恶意软件或 get-paid-to源代理服务的隧道运营商相关联。SDK
OPERATOR_XXX运营此隧道的服务提供商的名称。
-
RDS数据库 (DB) 用户详细信息
注意
本节适用于在中启用 “RDS保护” 功能时的发现 GuardDuty。有关更多信息，请参阅 GuardDuty RDS保护。
GuardDuty 调查结果提供了可能遭到入侵的数据库的以下用户和身份验证详细信息：
-
用户：用于进行异常登录尝试的用户名。
-
应用程序：用于进行异常登录尝试的应用程序名称。
-
数据库：数据库实例的名称，在异常登录尝试中包含此实例。
-
SSL— 用于网络的安全套接字层 (SSL) 的版本。
-
身份验证方法：用户使用的身份验证方法，在调查发现中包括该用户。
有关可能受到威胁的资源的信息，请参阅资源。
运行时监控调查发现详细信息
注意
这些详细信息只有在 GuardDuty 生成其中一个时才可用GuardDuty 运行时监控查找类型。
本节包含运行时详细信息，例如进程详细信息和任何必需的上下文。进程详细信息描述了有关观察到的进程的信息，运行时上下文描述了有关潜在可疑活动的任何其他信息。
进程详细信息
-
名称：进程的名称。
-
可执行文件路径：进程可执行文件的绝对路径。
-
可执行文件 SHA -256-进程可执行文件的
SHA256哈希值。 -
命名空间 PID — 除主机级PID命名空间之外的辅助PID命名空间中进程的进程 ID。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。
-
当前工作目录：进程的当前工作目录。
-
进程 ID：操作系统分配给进程的 ID。
-
startTime— 流程开始的时间。这是UTC日期字符串格式 (
2023-03-22T19:37:20.168Z)。 -
UUID— 分配给进程的唯一 ID GuardDuty。
-
父进程 UUID-父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。
-
用户：执行进程的用户。
-
用户 ID：执行进程的用户 ID。
-
有效用户 ID：事件发生时进程的有效用户 ID。
-
谱系：有关进程原级的信息。
-
进程 ID：操作系统分配给进程的 ID。
-
UUID— 分配给进程的唯一 ID GuardDuty。
-
可执行文件路径：进程可执行文件的绝对路径。
-
有效用户 ID：事件发生时进程的有效用户 ID。
-
父进程 UUID-父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。
-
开始时间：进程启动的时间。
-
命名空间 PID — 除主机级PID命名空间之外的辅助PID命名空间中进程的进程 ID。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。
-
用户 ID：执行进程用户的用户 ID。
-
名称：进程的名称。
-
运行时上下文
在以下字段中，生成的调查发现可能仅包含与调查发现类型相关的字段。
-
挂载源：被容器挂载的主机上的路径。
-
挂载目标：容器中映射到主机目录的路径。
-
文件系统类型：表示已挂载文件系统的类型。
-
标志：表示控制事件行为的选项，在此调查发现中包含该事件。
-
修改进程：有关运行时在容器内创建或修改二进制文件、脚本或库的进程的信息。
-
修改时间：进程运行时在容器内创建或修改二进制文件、脚本或库的时间戳。此字段采用UTC日期字符串格式 (
2023-03-22T19:37:20.168Z)。 -
库路径：已加载的新库的路径。
-
LD 预加载值：
LD_PRELOAD环境变量的值。 -
套接字路径：被访问的 Docker 套接字的路径。
-
Runc 二进制文件路径：
runc二进制文件的路径。 -
版本代理路径：
cgroup版本代理文件的路径。 -
命令行示例：潜在可疑活动所涉及的命令行的示例。
-
工具类别：工具所属的类别，例如后门工具、渗透测试工具、网络扫描器和网络嗅探器。
-
工具名称：潜在可疑工具的名称。
-
脚本路径：生成该调查发现的已执行脚本的路径。
-
威胁文件路径：找到威胁情报详细信息的可疑路径。
-
服务名称：已被禁用的安全服务的名称。
EBS卷扫描详细信息
注意
本节适用于开启 GuardDuty启动的恶意软件扫描时发现的结果。恶意软件防护 EC2
EBS卷扫描提供有关连接到可能受损的EC2实例或容器工作负载的EBS卷的详细信息。
-
扫描 ID：恶意软件扫描的标识符。
-
扫描开始时间：开始恶意软件扫描的日期和时间。
-
扫描完成时间：完成恶意软件扫描的日期和时间。
-
触发器查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。
-
来源：可能的值为
Bitdefender和Amazon。有关用于检测恶意软件的扫描引擎的更多信息，请参阅 GuardDuty 恶意软件检测扫描引擎。
-
扫描检测：每次恶意软件扫描的详细信息和结果的完整视图。
-
已扫描项目数：已扫描文件的总数。提供例如
totalGb、files和volumes的详细信息。 -
检测到的威胁项目数：扫描期间检测到的恶意
files总数。 -
最高严重性威胁详细信息：扫描期间检测到的最高严重性威胁的详细信息，以及恶意文件数量。提供例如
severity、threatName和count的详细信息。 -
检测到的威胁（按名称）：对所有严重性级别的威胁进行分组的容器元素。提供例如
itemCount、uniqueThreatNameCount、shortened和threatNames的详细信息。
-
用于EC2查找详细信息的恶意软件防护
注意
本节适用于开启 GuardDuty启动的恶意软件扫描时发现的结果。恶意软件防护 EC2
当用于EC2扫描的恶意软件防护检测到恶意软件时，您可以通过在https://console.aws.amazon.com/guardduty/
详细信息面板的检测到的威胁部分，提供以下信息。
-
名称：威胁的名称，该名称通过将文件按检测结果分组获得。
-
严重性：检测到的威胁的严重性。
-
哈希 — 文件的 SHA -256。
-
文件路径-EBS 卷中恶意文件的位置。
-
文件名称：检测出威胁的文件的名称。
-
体积 ARN-扫描ARN的EBS卷。
详细信息面板的恶意软件扫描详细信息部分，提供以下信息。
-
扫描 ID：恶意软件扫描的扫描 ID。
-
扫描开始时间：开始扫描的日期和时间。
-
扫描完成时间：完成扫描的日期和时间。
-
扫描的文件：扫描的文件和目录的总数。
-
扫描总量（GB）：扫描过程中扫描的存储量。
-
触发查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。
-
详细信息面板的卷详细信息部分，提供以下信息。
-
卷 ARN-卷的 Amazon 资源名称 (ARN)。
-
快照 ARN-EBS 卷快照ARN的快照。
-
状态：卷的扫描状态，例如
Running、Skipped和Completed。 -
加密类型：用于给卷加密的加密类型。例如，
CMCMK。 -
设备名称：设备的名称。例如，
/dev/xvda。
-
S3 恶意软件防护调查发现详细信息
当您在中同时启用 S3 GuardDuty 和 “恶意软件防护” 时，以下恶意软件扫描详细信息可用 AWS 账户：
-
威胁：恶意软件扫描期间检测到的威胁列表。
归档文件中的多种潜在威胁
如果您的归档文件中包含多种可能的威胁，则 S3 恶意软件防护仅报告第一个检测到的威胁。此后，扫描状态将标记为完成。 GuardDuty 生成关联的查找类型并发送其生成 EventBridge 的事件。有关使用 EventBridge 事件监控 Amazon S3 对象扫描的更多信息，请参阅FOUND中的 THREATS_ 的示例通知架构S3 对象扫描结果。
-
项路径：已扫描 S3 对象的嵌套项路径列表和哈希详细信息。
-
嵌套项路径：检测到威胁的已扫描 S3 对象的项路径。
只有当顶层对象属于归档并且在该归档内检测到威胁时，此字段的值才可用。
-
哈希：此调查发现中检测到的威胁的哈希值。
-
-
来源：可能的值为
Bitdefender和Amazon。有关用于检测恶意软件的扫描引擎的更多信息，请参阅 GuardDuty 恶意软件检测扫描引擎。
操作
调查发现的操作提供触发调查发现的活动类型的详细信息。可用信息因操作类型而异。
操作类型：调查发现活动类型。此值可以是 NETWORK_ CONNECTION、PORTDNS_ PROBE REQUEST、AWS_API_ CALL、RDS_ 或 LOGIN _ ATTEMPT。可用信息因操作类型而异：
-
NETWORK_ CONNECTION — 表示已识别的EC2实例和远程主机之间交换了网络流量。此操作类型具有以下额外信息：
-
连接方向-在提示生成结果的活动中观察到 GuardDuty 的网络连接方向。它可以是以下值之一：
-
INBOUND— 表示远程主机启动了与您账户中已识别EC2实例上的本地端口的连接。
-
OUTBOUND— 表示已识别的EC2实例启动了与远程主机的连接。
-
UNKNOWN— 表示 GuardDuty 无法确定连接方向。
-
-
协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。
-
本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKSPod 的 IP 地址与运行 Po EKS d 的实例的 IP 地址对比。
-
已阻止：指示目标端口是否被阻止。
-
-
PORT_ PROBE — 表示远程主机在多个打开的端口上探测了已识别的EC2实例。此操作类型具有以下额外信息：
-
本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKSPod 的 IP 地址与运行 Po EKS d 的实例的 IP 地址对比。
-
已阻止：指示目标端口是否被阻止。
-
-
DNS_ REQUEST — 表示已识别的EC2实例查询了域名。此操作类型具有以下额外信息：
-
协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。
-
已阻止：指示目标端口是否被阻止。
-
-
AWS_API_ CALL — 表示已调用 AWS API了。此操作类型具有以下额外信息：
-
API— 被调用并因此被提示生成此结果 GuardDuty 的API操作的名称。
注意
这些操作还可能包括由捕获的非API事件 AWS CloudTrail。有关更多信息，请参阅捕获的非API事件 CloudTrail。
-
用户代理-API 发出请求的用户代理。此值告诉您呼叫是从 AWS Management Console、 AWS 服务 AWS SDKs、还是 AWS CLI。
-
ERRORCODE— 如果发现是由失败的API呼叫触发的，则会显示该呼叫的错误代码。
-
服务名称-尝试拨打触发查找结果的API呼叫的服务的DNS名称。
-
-
RDS_ LOGIN _ ATTEMPT — 表示有人尝试从远程 IP 地址登录到可能受到威胁的数据库。
-
IP 地址：用于进行潜在可疑登录尝试的远程 IP 地址。
-
行动者或目标
如果资源角色是 TARGET，则调查发现会有行动者部分。这表示您的资源是可疑活动的目标，并且行动者部分包含针对您资源的实体的详细信息。
如果资源角色是 ACTOR，则调查发现会有目标部分。这表示您的资源参与了针对远程主机的可疑活动，且该部分包含有关资源所针对的 IP 或域的信息。
行动者或目标部分中可用的信息包括以下内容：
-
附属机构-有关远程API呼叫者的 AWS 帐户是否与您的 GuardDuty 环境相关的详细信息。如果此值为
true，则表示API来电者以某种方式关联到您的账户；如果false，API来电者来自您的环境之外。 -
远程账户 ID：用于访问最终网络资源的 IP 地址所属的账户 ID。
-
IP 地址-提示 GuardDuty 生成调查结果的活动中涉及的 IP 地址。
-
位置-提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的位置信息。
-
ISP组织 — 提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的组织信息。
-
端口-提示 GuardDuty 生成查找结果的活动所涉及的端口号。
-
域-提示 GuardDuty 生成调查结果的活动所涉及的域。
-
带后缀的域-可能提示 GuardDuty 生成调查结果的活动中涉及的第二和顶级域名。有关顶级域和二级域的列表，请参阅 public suffix list
。
地理位置详情
GuardDuty 使用 MaxMind GeoIP 数据库确定请求的位置和网络。 MaxMind 尽管准确性因国家/地区和 IP 地址类型等因素而异，但其数据在国家层面的准确性非常高。有关的更多信息 MaxMind，请参阅 MaxMind IP 地理定位
其他信息
调查发现的额外信息部分，包括以下信息：
-
威胁列表名称-威胁列表的名称，其中包括提示 GuardDuty 生成发现的活动所涉及的 IP 地址或域名。
-
示例：true 或 false 值，指示此项否为示例调查发现。
-
已存档：true 或 false 值，指示此调查发现是否已存档。
-
不常见：过去未观察到的活动详细信息。这些可能包括异常（以前未观察到的）用户、位置、时间、存储桶、登录行为或ASN组织。
-
异常协议-提示生成调查结果的活动中涉及 GuardDuty 的网络连接协议。
-
代理详细信息-有关当前部署在您的EKS集群上的安全代理的详细信息 AWS 账户。这仅适用于 “EKS运行时监控” 查找类型。
-
代理版本- GuardDuty 安全客户端的版本。
-
代理 ID- GuardDuty 安全代理的唯一标识符。
-
证据
基于威胁情报的调查发现包括证据部分，其中包含以下信息：
-
威胁情报详细信息：威胁列表名称，其中会显示已识别出的
Threat name。 -
威胁名称：与威胁相关的恶意软件系列名称或其他标识符。
-
威胁文件 SHA256 — SHA256 生成发现的文件。
异常行为
结尾为的发现类型AnomalousBehavior表示发现是由 GuardDuty 异常检测机器学习 (ML) 模型生成的。机器学习模型会评估对您账户的所有API请求，并识别与对手使用的策略相关的异常事件。机器学习模型跟踪API请求的各种因素，例如发出请求的用户、发出请求的地点以及请求API的具体内容。
有关请求中哪些因素对于调用该API请求的 CloudTrail 用户身份来说不寻常的详细信息，可以在调查结果详细信息中找到。恒等式由 E CloudTrail userIdentity lement 定义，可能的值为：RootIAMUser、AssumedRole、FederatedUser、AWSAccount、或AWSService。
除了与API活动相关的所有 GuardDuty 发现的详细信息外，AnomalousBehavior调查结果还有其他详细信息，将在下一节中概述。这些详细信息可以在控制台中查看，也可以在调查结果中找到JSON。
-
Anomalous APIs — 用户身份在与调查结果关联的主要API请求附近调用的请求列表。API此窗格通过以下方式进一步细分了API事件的详细信息。
-
API列出的第一个是主API请求API，即与观察到的风险最高的活动相关的请求。这是触发API发现的原因，并且与发现类型的攻击阶段相关。这也是控制台的 “操作” 部分和调查结果中详细介绍的JSON。API
-
APIs列出的任何其他用户身份都是在主要用户附近观察APIs到的列出用户身份中的其他异常情况。API如果列表中只有一个API，则机器学习模型不会将来自该用户身份的任何其他API请求识别为异常请求。
-
列表APIs是根据调用成功还是调用失败（即API已收到错误响应）来划分的。API接收到的错误响应类型列在每个未成功调用的API错误响应的上方。可能的错误响应类型有：
access denied、access denied exception、auth failure、instance limit exceeded、invalid permission - duplicate、invalid permission - not found、和operation not permitted。 -
APIs按其相关服务进行分类。
-
APIs要了解更多背景信息，请选择 Historical（历史）以查看有关顶部的APIs详细信息，最多 20 个，通常同时显示用户身份和账户内所有用户。根据您账户中的使用频率，分别标记为 “稀APIs有”（每月少于一次）、“不频繁”（每月几次）或 “频繁”（从每天到每周）。
-
-
异常行为（账户）：本部分提供有关您账户的已剖析行为的更多详细信息。
已分析的行为
GuardDuty 根据已交付的事件持续了解您账户中的活动。这些活动及其观察到的频率成为已分析的行为。
此面板中跟踪的信息包括：
-
ASNOrg — 发出异常API呼叫的自治系统编号 (ASN) 组织。
-
用户名-发出异常API呼叫的用户的姓名。
-
用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如
aws-cli或Botocore。 -
用户类型-发出异常API呼叫的用户类型。可能的值为
AWS_SERVICE、ASSUMED_ROLE、IAM_USER或ROLE。 -
存储桶：正在经受访问的 S3 存储桶的名称。
-
-
异常行为（用户身份）：本部分提供了有关调查发现所涉及的用户身份剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前没有看到此用户身份在训练期间以这种方式进行API调用。有关用户身份的以下其他详细信息可用：
-
ASN组织 — 发出异常API呼叫的ASN组织。
-
用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如
aws-cli或Botocore。 -
存储桶：正在经受访问的 S3 存储桶的名称。
-
-
不常见行为（存储桶）：本部分提供与调查发现关联的 S3 存储桶已剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前在训练期内从未见过以这种方式对该存储桶进行的API调用。此部分中跟踪的信息包括：
-
ASN组织 — 发出异常API呼叫的ASN组织。
-
用户名-发出异常API呼叫的用户的姓名。
-
用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如
aws-cli或Botocore。 -
用户类型-发出异常API呼叫的用户类型。可能的值为
AWS_SERVICE、ASSUMED_ROLE、IAM_USER或ROLE。
注意
有关历史行为的更多上下文，请在不常见行为（账户）、用户 ID 或存储桶部分中，选择历史行为，查看有关您账户中以下每个类别的预期行为的详细信息：稀有（每月少于一次）、不频繁（每月几次）或频繁（每天到每周），具体取决于在您账户中的使用频率。
-
-
不常见行为（数据库）：本部分提供有关数据库实例剖析行为的更多详细信息，该实例与调查发现相关联。如果某项行为未被识别为历史行为，则意味着 GuardDuty ML 模型在训练期内未曾尝试以这种方式登录该数据库实例。在调查发现面板中针对此部分跟踪的信息包括：
-
用户名：用于进行异常登录尝试的用户名。
-
ASN组织 — 进行异常登录尝试的ASN组织。
-
应用程序名称：用于进行异常登录尝试的应用程序名称。
-
数据库名称：数据库实例的名称，在异常登录尝试中包含该实例。
“历史行为” 部分提供了有关先前观察到的关联数据库的用户名、ASN组织、应用程序名称和数据库名称的更多背景信息。每个唯一值都有一个关联的计数，表示在成功登录事件中观察到该值的次数。
-
-
异常行为（账户 Kubernetes 集群、Kubernetes 命名空间和 Kubernetes 用户名）：这一部分提供调查发现相关 Kubernetes 集群和命名空间的已分析行为的更多详细信息。如果某项行为未被识别为历史行为，则意味着 GuardDuty ML 模型以前未以这种方式观察到此账户、集群、命名空间或用户名。在调查发现面板中针对此部分跟踪的信息包括：
-
用户名 — 调用与搜索结果API关联的 Kubernetes 的用户。
-
被冒充的用户名：被
username冒充的用户。 -
命名空间 — 发生操作的亚马逊EKS集群中的 Kubernetes 命名空间。
-
用户代理 — 与 Kubernetes API 调用关联的用户代理。用户代理是用于发出调用的方法，例如
kubectl。 -
API— 在亚马逊集群中API调用的 Kubernetes
username。EKS -
ASN信息-与进行此呼叫的用户的 IP 地址相关的ASN信息，例如组织和。ISP
-
一周中的某一天 — 一周中发出 Kubernetes API 调用的那一天。
-
权限 — 正在检查访问权限的 Kubernetes 动词和资源，以指示他们是否
username可以使用 Kubernetes。API -
服务账户名称：与 Kubernetes 工作负载关联的服务账户，用于为工作负载提供身份。
-
注册表：与 Kubernetes 工作负载中部署的容器映像关联的容器注册表。
-
映像：部署在 Kubernetes 工作负载中的容器映像，不含相关标签和摘要。
-
映像前缀配置：为使用映像的容器启用了容器和工作负载安全配置的映像前缀，例如
hostNetwork或privileged。 -
主体名称：在
RoleBinding或ClusterRoleBinding中绑定到某个参考角色的主体，例如user、group或serviceAccountName。 -
角色名称-创建或修改角色所涉及的角色的名称或
roleBindingAPI.
-
基于 S3 卷的异常
本节详细介绍基于 S3 卷的异常的上下文信息。基于卷的发现 (Exfiltration:S3/AnomalousBehavior) 监视用户向 S3 存储桶发出的异常数量的 S3 API 调用，这表明存在潜在的数据泄露。监控以下 S3 API 调用以进行基于卷的异常检测。
-
GetObject -
CopyObject.Read -
SelectObjectContent
以下指标将有助于建立IAM实体访问 S3 存储桶时的通常行为的基准。为了检测数据泄露，基于卷的异常检测调查发现会根据常见的行为基准评估所有活动。在不常见行为（用户身份）、观测到的卷（用户身份）和观测到的卷（存储桶）部分中，选择历史行为，以分别查看以下指标。
-
在过去 24 小时内，与受影响的 S3 存储桶关联的IAM用户或IAM角色
s3-api-nameAPI调用的次数（取决于发出的是哪个调用）。 -
在过去 24 小时内，IAM用户或IAM角色
s3-api-nameAPI调用的与所有 S3 存储桶关联的呼叫数（取决于发出的呼叫是哪个）。 -
过去 24 小时内所有IAM用户或IAM角色中与受影响的 S3 存储桶关联的
s3-api-nameAPI调用数量（取决于发出的呼叫是哪个）。
RDS基于登录活动的异常
本节详细说明了不常见行动者执行的登录尝试次数，并按登录尝试的结果进行分组。RDS保护发现类型 通过监控登录事件中是否存在 successfulLoginCount、failedLoginCount 和 incompleteConnectionCount 的不常见模式，来识别异常行为。
-
successfulLoginCount— 此计数器表示异常行为者成功连接到数据库实例的总和（登录属性的正确组合）。登录属性包括用户名、密码和数据库名称。
-
failedLoginCount— 此计数器表示为建立与数据库实例的连接而进行的失败（失败）登录尝试的总和。这表明登录组合的一个或多个属性（例如用户名、密码或数据库名称）不正确。
-
incompleteConnectionCount— 此计数器表示无法归类为成功或失败的连接尝试次数。这些连接在数据库提供响应之前就已关闭。例如，在端口扫描中已连接数据库端口，但没有向数据库发送任何信息，或者在成功或失败的尝试中，连接在登录完成前中止。
