调查发现详细信息

• 账户 ID — 账户的 ID AWS 促使生成此发现的活动发生 GuardDuty 在哪里。

• 计数-将此模式与 GuardDuty 该发现 ID 相匹配的活动汇总的次数。

• 创建时间：首次创建此调查发现的时间和日期。如果此值与更新时间不同，则表示该活动已多次发生，是一个持续的问题。

  注意

  GuardDuty 控制台中查找结果的时间戳以您的本地时区显示，而JSON导出和CLI输出显示的时间戳则显示在中。UTC

• 调查发现 ID：此调查发现类型和参数集的唯一标识符。与此模式匹配的新活动实例将聚合到同一 ID 中。

• 调查发现类型：表示触发调查发现的活动类型的格式化字符串。有关更多信息，请参阅 GuardDuty 查找格式。

• 地区 — AWS 生成发现的区域。有关支持的区域的更多信息，请参阅区域和端点。

• 资源 ID — 资源的 ID AWS 活动所依据的资源，促 GuardDuty 使人们得出这一发现。

• 扫描 ID — 适用于启用 GuardDuty 恶意软件防护时的发现，这是在连接到可能受感染的EC2实例或容器工作负载的EBS卷上运行的恶意软件扫描的标识符。EC2有关更多信息，请参阅 用于EC2查找详细信息的恶意软件防护。

• 严重性：为调查发现分配的严重性级别，可以为“高”、“中”或“低”。有关更多信息，请参阅 GuardDuty 调查结果的严重性级别。

• 更新时间 — 上次更新此发现的时间，其中包含与提示 GuardDuty生成此发现的模式相匹配的新活动。

• 用户：用于进行异常登录尝试的用户名。

• 应用程序：用于进行异常登录尝试的应用程序名称。

• 数据库：数据库实例的名称，在异常登录尝试中包含此实例。

• SSL— 用于网络的安全套接字层 (SSL) 的版本。

• 身份验证方法：用户使用的身份验证方法，在调查发现中包括该用户。

进程详细信息

• 名称：进程的名称。

• 可执行文件路径：进程可执行文件的绝对路径。

• 可执行文件 SHA -256-进程可执行文件的SHA256哈希值。

• 命名空间 PID — 除主机级PID命名空间之外的辅助PID命名空间中进程的进程 ID。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。

• 当前工作目录：进程的当前工作目录。

• 进程 ID：操作系统分配给进程的 ID。

• startTime— 流程开始的时间。这是UTC日期字符串格式 (2023-03-22T19:37:20.168Z)。

• UUID— 分配给进程的唯一 ID GuardDuty。

• 父进程 UUID-父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

• 用户：执行进程的用户。

• 用户 ID：执行进程的用户 ID。

• 有效用户 ID：事件发生时进程的有效用户 ID。

• 谱系：有关进程原级的信息。

  • 进程 ID：操作系统分配给进程的 ID。

  • UUID— 分配给进程的唯一 ID GuardDuty。

  • 可执行文件路径：进程可执行文件的绝对路径。

  • 有效用户 ID：事件发生时进程的有效用户 ID。

  • 父进程 UUID-父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

  • 开始时间：进程启动的时间。

  • 命名空间 PID — 除主机级PID命名空间之外的辅助PID命名空间中进程的进程 ID。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。

  • 用户 ID：执行进程用户的用户 ID。

  • 名称：进程的名称。

运行时上下文

在以下字段中，生成的调查发现可能仅包含与调查发现类型相关的字段。

• 挂载源：被容器挂载的主机上的路径。

• 挂载目标：容器中映射到主机目录的路径。

• 文件系统类型：表示已挂载文件系统的类型。

• 标志：表示控制事件行为的选项，在此调查发现中包含该事件。

• 修改进程：有关运行时在容器内创建或修改二进制文件、脚本或库的进程的信息。

• 修改时间：进程运行时在容器内创建或修改二进制文件、脚本或库的时间戳。此字段采用UTC日期字符串格式 (2023-03-22T19:37:20.168Z)。

• 库路径：已加载的新库的路径。

• LD 预加载值：LD_PRELOAD 环境变量的值。

• 套接字路径：被访问的 Docker 套接字的路径。

• Runc 二进制文件路径：runc 二进制文件的路径。

• 版本代理路径：cgroup 版本代理文件的路径。

• 命令行示例-潜在可疑活动所涉及的命令行示例。

• 工具类别-工具所属的类别。其中一些示例包括后门工具、Pentest 工具、网络扫描器和网络嗅探器。

• 工具名称-潜在可疑工具的名称。

• 脚本路径-生成结果的已执行脚本的路径。

• 威胁文件路径-找到威胁情报详细信息的可疑路径。

• 服务名称-已禁用的安全服务的名称。

• 扫描 ID：恶意软件扫描的标识符。

• 扫描开始时间：开始恶意软件扫描的日期和时间。

• 扫描完成时间：完成恶意软件扫描的日期和时间。

• 触发器查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。

• 来源-潜在值为Bitdefender和Amazon。

  有关用于检测恶意软件的扫描引擎的更多信息，请参阅GuardDuty 恶意软件检测扫描引擎。

• 扫描检测：每次恶意软件扫描的详细信息和结果的完整视图。

  • 已扫描项目数：已扫描文件的总数。提供例如 totalGb、files 和 volumes 的详细信息。

  • 检测到的威胁项目数：扫描期间检测到的恶意 files 总数。

  • 最高严重性威胁详细信息：扫描期间检测到的最高严重性威胁的详细信息，以及恶意文件数量。提供例如 severity、threatName 和 count 的详细信息。

  • 检测到的威胁（按名称）：对所有严重性级别的威胁进行分组的容器元素。提供例如itemCount、uniqueThreatNameCount、shortened 和 threatNames 的详细信息。

• 名称：威胁的名称，该名称通过将文件按检测结果分组获得。

• 严重性：检测到的威胁的严重性。

• 哈希 — 文件的 SHA -256。

• 文件路径-EBS 卷中恶意文件的位置。

• 文件名称：检测出威胁的文件的名称。

• 体积 ARN-扫描ARN的EBS卷。

• 扫描 ID：恶意软件扫描的扫描 ID。

• 扫描开始时间：开始扫描的日期和时间。

• 扫描完成时间：完成扫描的日期和时间。

• 扫描的文件：扫描的文件和目录的总数。

• 扫描总量（GB）：扫描过程中扫描的存储量。

• 触发查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。

• 详细信息面板的卷详细信息部分，提供以下信息。

  • 卷 ARN-卷的亚马逊资源名称 (ARN)。

  • 快照 ARN-EBS 卷快照ARN的快照。

  • 状态：卷的扫描状态，例如 Running、Skipped 和 Completed。

  • 加密类型：用于给卷加密的加密类型。例如，CMCMK。

  • 设备名称：设备的名称。例如，/dev/xvda。

• 威胁-恶意软件扫描期间检测到的威胁列表。

• 项目路径-已扫描 S3 对象的嵌套项目路径和哈希详细信息的列表。

  • 嵌套项目路径-检测到威胁的已扫描 S3 对象的项目路径。

    只有当顶级对象是档案并且在档案内检测到威胁时，此字段的值才可用。

  • 哈希 — 此发现中检测到的威胁的哈希值。

• 来源-潜在值为Bitdefender和Amazon。

  有关用于检测恶意软件的扫描引擎的更多信息，请参阅GuardDuty 恶意软件检测扫描引擎。

• NETWORK_ CONNECTION — 表示已识别的EC2实例和远程主机之间交换了网络流量。此操作类型具有以下额外信息：

  • 连接方向-在提示生成结果的活动中观察到 GuardDuty 的网络连接方向。它可以是以下值之一：

    • INBOUND— 表示远程主机启动了与您账户中已识别EC2实例上的本地端口的连接。

    • OUTBOUND— 表示已识别的EC2实例启动了与远程主机的连接。

    • UNKNOWN— 表示 GuardDuty 无法确定连接方向。

  • 协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。

  • 本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKSPod 的 IP 地址与运行 Po EKS d 的实例的 IP 地址对比。

  • 已阻止：指示目标端口是否被阻止。

• PORT_ PROBE — 表示远程主机在多个打开的端口上探测了已识别的EC2实例。此操作类型具有以下额外信息：

  • 本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKSPod 的 IP 地址与运行 Po EKS d 的实例的 IP 地址对比。

  • 已阻止：指示目标端口是否被阻止。

• DNS_ REQUEST — 表示已识别的EC2实例查询了域名。此操作类型具有以下额外信息：

  • 协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。

  • 已阻止：指示目标端口是否被阻止。

• AWS_API_ CALL — 表示一个 AWS API被调用了。此操作类型具有以下额外信息：

  • API— 被调用并因此被提示生成此结果 GuardDuty 的API操作的名称。

    注意

    这些操作还可以包括由捕获的非API事件 AWS CloudTrail。 有关更多信息，请参阅捕获的非API事件 CloudTrail。

  • 用户代理-API 发出请求的用户代理。此值告诉您呼叫是否是从 AWS Management Console，一个 AWS 服务， AWS SDKs，或者 AWS CLI.

  • ERRORCODE— 如果发现是由失败的API呼叫触发的，则会显示该呼叫的错误代码。

  • 服务名称-尝试拨打触发查找结果的API呼叫的服务的DNS名称。

• RDS_ LOGIN _ ATTEMPT — 表示有人尝试从远程 IP 地址登录到可能受到威胁的数据库。

  • IP 地址：用于进行潜在可疑登录尝试的远程 IP 地址。

• 关联公司 — 有关是否 AWS 远程API呼叫者的帐户与您的 GuardDuty 环境相关。如果此值为true，则表示API来电者以某种方式关联到您的账户；如果false，API来电者来自您的环境之外。

• 远程帐户 ID — 拥有用于访问最终网络资源的出站 IP 地址的账户 ID。

• IP 地址-提示 GuardDuty 生成调查结果的活动中涉及的 IP 地址。

• 位置-提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的位置信息。

• ISP组织 — 提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的组织信息。

• 端口-提示 GuardDuty 生成查找结果的活动所涉及的端口号。

• 域-提示 GuardDuty 生成调查结果的活动所涉及的域。

• 带后缀的域-可能提示 GuardDuty 生成调查结果的活动中涉及的第二和顶级域名。有关顶级和二级域名的列表，请参阅公共后缀列表。

• 威胁列表名称-威胁列表的名称，其中包括提示 GuardDuty 生成发现的活动所涉及的 IP 地址或域名。

• 示例：true 或 false 值，指示此项否为示例调查发现。

• 已存档：true 或 false 值，指示此调查发现是否已存档。

• 不常见：过去未观察到的活动详细信息。这些可能包括异常（以前未观察到的）用户、位置、时间、存储桶、登录行为或ASN组织。

• 异常协议-提示生成调查结果的活动中涉及 GuardDuty 的网络连接协议。

• 代理详细信息-有关当前部署在您的EKS集群上的安全代理的详细信息 AWS 账户。 这仅适用于 “EKS运行时监控” 查找类型。

  • 代理版本- GuardDuty 安全客户端的版本。

  • 代理 ID- GuardDuty 安全代理的唯一标识符。

• 威胁情报详细信息-Threat name 显示已识别的威胁列表的名称。

• 威胁名称-恶意软件系列的名称或与威胁相关的其他标识符。

• 威胁文件 SHA256 — SHA256 生成发现的文件。

• Anomalous APIs — 用户身份在与调查结果关联的主要API请求附近调用的请求列表。API此窗格通过以下方式进一步细分了API事件的详细信息。

  • API列出的第一个是主API请求API，即与观察到的风险最高的活动相关的请求。这是触发API发现的原因，并且与发现类型的攻击阶段相关。这也是控制台的 “操作” 部分和调查结果中详细介绍的JSON。API

  • APIs列出的任何其他用户身份都是在主要用户附近观察APIs到的列出用户身份中的其他异常情况。API如果列表中只有一个API，则机器学习模型不会将来自该用户身份的任何其他API请求识别为异常请求。

  • 列表APIs是根据调用成功还是调用失败（即API已收到错误响应）来划分的。API收到的错误响应类型列在每个未成功调用的API错误响应的上方。可能的错误响应类型有：access denied、access denied exception、auth failure、instance limit exceeded、invalid permission - duplicate、invalid permission - not found、和 operation not permitted。

  • APIs按其相关服务分类。

  • APIs要了解更多背景信息，请选择 Historical（历史）以查看有关顶部的APIs详细信息，最多 20 个，通常同时显示用户身份和账户内所有用户。根据您账户中的使用频率，分别标记为 “稀APIs有”（每月少于一次）、“不频繁”（每月几次）或 “频繁”（从每天到每周）。

• 异常行为（账户）：本部分提供有关您账户的已剖析行为的更多详细信息。

  描述的行为

  GuardDuty 根据已交付的事件持续了解您账户中的活动。这些活动及其观察到的频率被称为剖析行为。

  此面板中跟踪的信息包括：

  • ASN组织 — 发出异常API呼叫的ASN组织。

  • 用户名-发出异常API呼叫的用户的姓名。

  • 用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 用户类型-发出异常API呼叫的用户类型。可能的值为 AWS_SERVICE、ASSUMED_ROLE、IAM_USER 或 ROLE。

  • 存储桶：正在经受访问的 S3 存储桶的名称。

• 异常行为（用户身份）：本部分提供了有关调查发现所涉及的用户身份剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前没有看到此用户身份在训练期间以这种方式进行API调用。有关用户身份的以下其他详细信息可用：

  • ASN组织 — 发出异常API呼叫的ASN组织。

  • 用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 存储桶：正在经受访问的 S3 存储桶的名称。

• 不常见行为（存储桶）：本部分提供与调查发现关联的 S3 存储桶已剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前在训练期内从未见过以这种方式对该存储桶进行的API调用。此部分中跟踪的信息包括：

  • ASN组织 — 发出异常API呼叫的ASN组织。

  • 用户名-发出异常API呼叫的用户的姓名。

  • 用户代理 — 用于进行异常呼叫的用户代理。API用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 用户类型-发出异常API呼叫的用户类型。可能的值为 AWS_SERVICE、ASSUMED_ROLE、IAM_USER 或 ROLE。

  注意

  有关历史行为的更多上下文，请在不常见行为（账户）、用户 ID 或存储桶部分中，选择历史行为，查看有关您账户中以下每个类别的预期行为的详细信息：稀有（每月少于一次）、不频繁（每月几次）或频繁（每天到每周），具体取决于在您账户中的使用频率。

• 不常见行为（数据库）：本部分提供有关数据库实例剖析行为的更多详细信息，该实例与调查发现相关联。如果某项行为未被识别为历史行为，则意味着 GuardDuty ML 模型在训练期内未曾尝试以这种方式登录该数据库实例。在调查发现面板中针对此部分跟踪的信息包括：

  • 用户名：用于进行异常登录尝试的用户名。

  • ASN组织 — 进行异常登录尝试的ASN组织。

  • 应用程序名称：用于进行异常登录尝试的应用程序名称。

  • 数据库名称：数据库实例的名称，在异常登录尝试中包含该实例。

  “历史行为” 部分提供了有关先前观察到的关联数据库的用户名、ASN组织、应用程序名称和数据库名称的更多背景信息。每个唯一值都有一个关联的计数，表示在成功登录事件中观察到该值的次数。

• 异常行为（账户 Kubernetes 集群、Kubernetes 命名空间和 Kubernetes 用户名）— 本节提供了有关与发现结果关联的 Kubernetes 集群和命名空间的分析行为的更多详细信息。如果某项行为未被识别为历史行为，则意味着 GuardDuty ML 模型以前未以这种方式观察到此账户、集群、命名空间或用户名。在调查发现面板中针对此部分跟踪的信息包括：

  • 用户名 — 调用与搜索结果API关联的 Kubernetes 的用户。

  • 冒充的用户名-被冒充的用户。username

  • 命名空间 — 发生操作的亚马逊EKS集群中的 Kubernetes 命名空间。

  • 用户代理 — 与 Kubernetes API 调用关联的用户代理。用户代理是用于进行呼叫的方法，例如kubectl。

  • API— 在亚马逊集群中API调用的 Kubernetes username。EKS

  • ASN信息-与进行此呼叫的用户的 IP 地址相关的ASN信息，例如组织和。ISP

  • 一周中的某一天 — 一周中发出 Kubernetes API 调用的那一天。

  • 权限 — 正在检查访问权限的 Kubernetes 动词和资源，以指示他们是否username可以使用 Kubernetes。API

  • 服务帐户名称 — 与 Kubernetes 工作负载关联的服务帐户，为工作负载提供身份。

  • 注册表 — 与 Kubernetes 工作负载中部署的容器镜像关联的容器注册表。

  • 镜像 — 部署在 Kubernetes 工作负载中的容器镜像，不带相关标签和摘要。

  • Image Prefix Config — 使用镜像的容器启用了容器和工作负载安全配置的镜像前缀privileged，例如hostNetwork或。

  • 主题名称-绑定到或serviceAccountName中参考角色的主题，例如group、RoleBinding或ClusterRoleBinding。user

  • 角色名称-创建或修改角色所涉及的角色的名称或 roleBindingAPI.

• GetObject

• CopyObject.Read

• SelectObjectContent

• 在过去 24 小时内，与受影响的 S3 存储桶关联的IAM用户或IAM角色s3-api-nameAPI调用的次数（取决于发出的是哪个调用）。

• 在过去 24 小时内，IAM用户或IAM角色s3-api-nameAPI调用的与所有 S3 存储桶关联的呼叫数（取决于发出的呼叫是哪个）。

• 在过去 24 小时内，所有IAM用户或IAM角色中与受影响的 S3 存储桶关联的s3-api-nameAPI调用次数（取决于发出的呼叫是哪个）。

• successfulLoginCount— 此计数器表示异常行为者成功连接到数据库实例的总和（登录属性的正确组合）。登录属性包括用户名、密码和数据库名称。

• failedLoginCount— 此计数器表示为建立与数据库实例的连接而进行的失败（失败）登录尝试的总和。这表明登录组合的一个或多个属性（例如用户名、密码或数据库名称）不正确。

• incompleteConnectionCount— 此计数器表示无法归类为成功或失败的连接尝试次数。这些连接在数据库提供响应之前就已关闭。例如，在端口扫描中已连接数据库端口，但没有向数据库发送任何信息，或者在成功或失败的尝试中，连接在登录完成前中止。