行為圖表資料結構概觀

實體表示從 Detective 來源資料中擷取的項目。

每個實體都有一個類型，用來識別它所代表的物件類型。實體類型的範例包括 IP 地址、Amazon EC2 執行個體和 AWS 使用者。

針對每個實體，來源資料也會用來填入實體屬性。屬性值可以直接從來源記錄中擷取，也可以跨多個記錄彙總。

某些屬性由單一純量或彙總值組成。例如，例如，Detective 會追蹤實體的類型和處理的位元組總數。EC2

時間序列屬性會追蹤一段時間內的活動。例如，例如，Detective 會追蹤一EC2段時間內所使用的唯一連接埠。

關係表示個別實體之間發生的活動。關係也會從 Detective 來源資料中擷取。

與實體類似，關係具有類型，可識別涉及的實體類型和連接方向。關係類型的範例是連線至EC2執行個體的 IP 位址。

針對每個個別關係，例如連線至特定執行個體的特定 IP 地址，Detective 會追蹤一段時間內的發生次數。

AWS Detective 來源資料中存在的帳戶。

Detective 會針對每個帳戶回答以下數個問題：

AWS Detective 來源資料中存在的角色。

Detective 會針對每個角色回答以下數個問題：

AWS Detective 來源資料中存在的使用者。

Detective 會針對每個使用者回答以下數個問題：

聯合身分使用者的執行個體。聯合身分使用者範例如下：

Detective 會針對每位聯合身分使用者回答以下問題：

EC2Detective 來源資料中存在的實例。

EC2例如，Detective 回了幾個問題：

擔任角色資源的執行個體。每個角色工作階段都由角色識別符和工作階段名稱識別。

Detective 會針對每個角色回答以下數個問題：

Amazon 發現的發現項目 GuardDuty 已輸入 Detective 來源資料。

針對每個調查結果，Detective 都會追蹤調查結果類型、來源和調查結果活動的時間範圍。

它也會儲存調查結果特定的資訊，例如偵測活動中涉及的角色或 IP 地址。

Detective 來源資料中存在的 IP 地址。

Detective 會針對每個 IP 地址回答以下數個問題：

Detective 來源資料中的 S3 儲存貯體。

Detective 會針對每個 S3 儲存貯體回答以下問題：

您可以刪除 S3 儲存貯體，然後建立具有相同名稱的新儲存貯體。由於 Detective 使用 S3 儲存貯體名稱來識別 S3 儲存貯體，因此會將它們視為單一 S3 儲存貯體實體。在實體設定檔上，建立時間指首次的建立時間。刪除時間指最近的刪除時間。

若要檢視所有建立和刪除事件，請將範圍時間設定為從建立時間開始，並以刪除時間結束。在整體API通話音量設定檔面板上，顯示示波器時間的活動詳細資料。篩選要顯示的API方Delete法Create和方法。請參閱 整體API通話量的活動詳細資訊。

Detective 來源資料中存在的使用者代理程式。

Detective 會針對每個使用者代理程式回答以下問題：

EKSDetective 來源資料中存在的叢集。

Detective 會針對每個EKS叢集回答下列問題：

Detective 來源資料中存在的 Kubernetes Pod。

Detective 會針對每個 Pod 回答以下問題：

Detective 來源資料中存在的容器映像。

Detective 會針對每個容器映像回答以下問題：

Detective 來源資料中存在的 Kubernetes 主體。Kubernetes 主體指使用者或服務帳戶。

Detective 會針對每個主體回答以下問題：