调查发现详细信息

• 账户 ID — 发生活动并提示 GuardDuty 生成此调查结果的 Amazon 账户的 ID。

• 计数-将此模式与 GuardDuty 该发现 ID 匹配的活动汇总的次数。

• 创建时间：首次创建此调查发现的时间和日期。如果此值与更新时间不同，则表示该活动已多次发生，是一个持续的问题。

  注意

  GuardDuty 控制台中查找结果的时间戳以您的本地时区显示，而 JSON 导出和 CLI 输出以 UTC 显示时间戳。

• 调查发现 ID：此调查发现类型和参数集的唯一标识符。与此模式匹配的新活动实例将聚合到同一 ID 中。

• 调查发现类型：表示触发调查发现的活动类型的格式化字符串。有关更多信息，请参阅 GuardDuty 查找格式。

• 区域-生成发现的 Amazon 区域。有关支持的区域的更多信息，请参阅区域和端点。

• 资源 ID — 活动所针对的 Amazon 资源的 ID，提示生成 GuardDuty 此调查结果。

• 扫描 ID-适用于启用 GuardDuty 恶意软件防护时的发现，这是在连接到可能受感染的 EC2 实例或容器工作负载的 EBS 卷上运行的恶意软件扫描的标识符。 EC2 有关更多信息，请参阅 用于 EC2 查找详细信息的恶意软件防护。

• 严重性-调查结果的指定严重性级别为 “严重”、“高”、“中” 或 “低”。有关更多信息，请参阅 调查发现的严重性级别。

• 更新时间 — 上次更新此发现的时间，其中包含与提示 GuardDuty生成此发现的模式相匹配的新活动。

• 概述-提供攻击顺序详细信息的简要视图，包括信号、MITRE 战术和可能受影响的资源。

• 信号-显示攻击序列中涉及的事件的时间表。

• 资源-提供有关可能受影响的资源或可能面临风险的资源的信息。

• 用户：用于进行异常登录尝试的用户名。

• 应用程序：用于进行异常登录尝试的应用程序名称。

• 数据库：数据库实例的名称，在异常登录尝试中包含此实例。

• SSL：用于网络的安全套接字层（SSL）的版本。

• 身份验证方法：用户使用的身份验证方法，在调查发现中包括该用户。

进程详细信息

• 名称：进程的名称。

• 可执行文件路径：进程可执行文件的绝对路径。

• 可执行文件 SHA-256：进程可执行文件的 SHA256 哈希值。

• 命名空间 PID：进程的进程 ID，该进程在除主机级别 PID 命名空间之外的二级 PID 命名空间中。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。

• 当前工作目录：进程的当前工作目录。

• 进程 ID：操作系统分配给进程的 ID。

• 开始时间：进程启动的时间。该时间采用 UTC 日期字符串格式（2023-03-22T19:37:20.168Z）。

• UUID — 由 GuardDuty分配给进程的唯一 ID。

• 父级 UUID：父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

• 用户：执行进程的用户。

• 用户 ID：执行进程的用户 ID。

• 有效用户 ID：事件发生时进程的有效用户 ID。

• 谱系：有关进程原级的信息。

  • 进程 ID：操作系统分配给进程的 ID。

  • UUID — 由 GuardDuty分配给进程的唯一 ID。

  • 可执行文件路径：进程可执行文件的绝对路径。

  • 有效用户 ID：事件发生时进程的有效用户 ID。

  • 父级 UUID：父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

  • 开始时间：进程启动的时间。

  • 命名空间 PID：进程的进程 ID，该进程在除主机级别 PID 命名空间之外的二级 PID 命名空间中。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。

  • 用户 ID：执行进程用户的用户 ID。

  • 名称：进程的名称。

运行时上下文

在以下字段中，生成的调查发现可能仅包含与调查发现类型相关的字段。

• 挂载源：被容器挂载的主机上的路径。

• 挂载目标：容器中映射到主机目录的路径。

• 文件系统类型：表示已挂载文件系统的类型。

• 标志：表示控制事件行为的选项，在此调查发现中包含该事件。

• 修改进程：有关运行时在容器内创建或修改二进制文件、脚本或库的进程的信息。

• 修改时间：进程运行时在容器内创建或修改二进制文件、脚本或库的时间戳。该字段采用 UTC 日期字符串格式（2023-03-22T19:37:20.168Z）。

• 库路径：已加载的新库的路径。

• LD 预加载值：LD_PRELOAD 环境变量的值。

• 套接字路径：被访问的 Docker 套接字的路径。

• Runc 二进制文件路径：runc 二进制文件的路径。

• 版本代理路径：cgroup 版本代理文件的路径。

• 命令行示例：潜在可疑活动所涉及的命令行的示例。

• 工具类别：工具所属的类别，例如后门工具、渗透测试工具、网络扫描器和网络嗅探器。

• 工具名称：潜在可疑工具的名称。

• 脚本路径：生成该调查发现的已执行脚本的路径。

• 威胁文件路径：找到威胁情报详细信息的可疑路径。

• 服务名称：已被禁用的安全服务的名称。

• 扫描 ID：恶意软件扫描的标识符。

• 扫描开始时间：开始恶意软件扫描的日期和时间。

• 扫描完成时间：完成恶意软件扫描的日期和时间。

• 触发器查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。

• 来源：可能的值为 Bitdefender 和 Amazon。

  有关用于检测恶意软件的扫描引擎的更多信息，请参阅 GuardDuty 恶意软件检测扫描引擎。

• 扫描检测：每次恶意软件扫描的详细信息和结果的完整视图。

  • 已扫描项目数：已扫描文件的总数。提供例如 totalGb、files 和 volumes 的详细信息。

  • 检测到的威胁项目数：扫描期间检测到的恶意 files 总数。

  • 最高严重性威胁详细信息：扫描期间检测到的最高严重性威胁的详细信息，以及恶意文件数量。提供例如 severity、threatName 和 count 的详细信息。

  • 检测到的威胁（按名称）：对所有严重性级别的威胁进行分组的容器元素。提供例如itemCount、uniqueThreatNameCount、shortened 和 threatNames 的详细信息。

• 名称：威胁的名称，该名称通过将文件按检测结果分组获得。

• 严重性：检测到的威胁的严重性。

• 哈希值：文件的 SHA256 哈希值。

• 文件路径：恶意文件在 EBS 卷中的位置。

• 文件名称：检测出威胁的文件的名称。

• 卷 ARN：已扫描的 EBS 卷的 ARN。

• 扫描 ID：恶意软件扫描的扫描 ID。

• 扫描开始时间：开始扫描的日期和时间。

• 扫描完成时间：完成扫描的日期和时间。

• 扫描的文件：扫描的文件和目录的总数。

• 扫描总量（GB）：扫描过程中扫描的存储量。

• 触发查找 ID — 启动此恶意软件扫描的 GuardDuty 发现的查找 ID。

• 详细信息面板的卷详细信息部分，提供以下信息。

  • 卷 ARN：卷的 Amazon 资源名称（ARN）。

  • SnapshotArn：EBS 卷快照的 ARN。

  • 状态：卷的扫描状态，例如 Running、Skipped 和 Completed。

  • 加密类型：用于给卷加密的加密类型。例如 CMCMK。

  • 设备名称：设备的名称。例如 /dev/xvda。

• 威胁：恶意软件扫描期间检测到的威胁列表。

  归档文件中的多种潜在威胁

  如果您的归档文件中包含多种可能的威胁，则 S3 恶意软件防护仅报告第一个检测到的威胁。之后，扫描状态将标记为完成。 GuardDuty 生成关联的查找类型并发送其生成 EventBridge 的事件。有关使用 EventBridge 事件监控 Amazon S3 对象扫描的更多信息，请参阅中的 TH REATS_ FOUND 通知架构示例。S3 对象扫描结果

• 项路径：已扫描 S3 对象的嵌套项路径列表和哈希详细信息。

  • 嵌套项路径：检测到威胁的已扫描 S3 对象的项路径。

    只有当顶层对象属于归档并且在该归档内检测到威胁时，此字段的值才可用。

  • 哈希：此调查发现中检测到的威胁的哈希值。

• 来源：可能的值为 Bitdefender 和 Amazon。

  有关用于检测恶意软件的扫描引擎的更多信息，请参阅 GuardDuty 恶意软件检测扫描引擎。

• NETWORK_ CONNECTION — 表示已识别的 EC2 实例和远程主机之间交换了网络流量。此操作类型具有以下额外信息：

  • 连接方向-在提示生成结果的活动中观察到 GuardDuty 的网络连接方向。它可以是以下值之一：

    • IN BOUND — 表示远程主机启动了与您账户中已识别 EC2 实例上的本地端口的连接。

    • O@@ U TBOUND — 表示已识别的 EC2 实例启动了与远程主机的连接。

    • 未知 — 表示 GuardDuty 无法确定连接方向。

  • 协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。

  • 本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKS 容器组的 IP 地址与运行 EKS pod 的实例的 IP 地址。

  • 已阻止：指示目标端口是否被阻止。

• PORT_PROBE — 表示远程主机在多个打开的端口上探测了已识别的 EC2 实例。此操作类型具有以下额外信息：

  • 本地 IP：触发调查发现的流量的原始源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查发现的流量的原始源 IP 地址。例如，EKS 容器组的 IP 地址与运行 EKS pod 的实例的 IP 地址。

  • 已阻止：指示目标端口是否被阻止。

• DNS_RE QUEST — 表示已识别的 EC2 实例查询了域名。此操作类型具有以下额外信息：

  • 协议-在提示生成调查结果的活动中观察 GuardDuty 到的网络连接协议。

  • 已阻止：指示目标端口是否被阻止。

• AWS_API_CAL L — 表示已调用了 Amazon API。此操作类型具有以下额外信息：

  • API — 被调用并因此被提示 GuardDuty 生成此结果的 API 操作的名称。

    注意

    这些操作也可能包括由 Amazon CloudTrail捕获的非 API 事件。有关更多信息，请参阅捕获的非 API 事件。 CloudTrail

  • 用户代理：发出 API 请求的用户代理。此值告诉您呼叫是从 Amazon Web Services Management Console、 Amazon 服务 Amazon SDKs、还是 Amazon CLI。

  • 错误代码：如果调查发现是由失败的 API 调用触发的，则会显示该调用的错误代码。

  • 服务名称：服务的 DNS 名称，该服务试图调用触发调查发现的 API。

• RDS_LOGIN_ATTEMPT：表示有人尝试从远程 IP 地址登录可能被盗用的数据库。

  • IP 地址：用于进行潜在可疑登录尝试的远程 IP 地址。

• 附属机构-有关远程 API 调用者的 Amazon 帐户是否与您的 GuardDuty 环境相关的详细信息。如果此值为 true，则 API 调用方以某种方式关联到您的账户；如果为 false，则 API 调用方来自您的环境之外。

• 远程账户 ID：用于访问最终网络资源的 IP 地址所属的账户 ID。

• IP 地址-提示 GuardDuty 生成调查结果的活动中涉及的 IP 地址。

• 位置-提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的位置信息。

• 组织 — 提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址的 ISP 组织信息。

• 端口 — 提示 GuardDuty 生成查找结果的活动所涉及的端口号。

• 域-提示 GuardDuty 生成调查结果的活动所涉及的域。

• 带后缀的域-可能提示 GuardDuty 生成调查结果的活动中涉及的第二和顶级域名。有关顶级域和二级域的列表，请参阅 public suffix list。

• 威胁列表名称-威胁列表的名称，其中包括提示 GuardDuty 生成发现的活动所涉及的 IP 地址或域名。

• 示例：true 或 false 值，指示此项否为示例调查发现。

• 已存档：true 或 false 值，指示此调查发现是否已存档。

• 不常见：过去未观察到的活动详细信息。其中可能包括不常见的（过去未观察到的）用户、位置、时间、存储桶、登录行为或 ASN 组织。

• 异常协议-提示生成调查结果的活动中涉及 GuardDuty 的网络连接协议。

• 代理详细信息：有关安全代理的详细信息，该安全代理当前部署在您 Amazon Web Services 账户中的 EKS 集群上。仅适用于 EKS 运行时监控调查发现类型。

  • 代理版本- GuardDuty 安全客户端的版本。

  • 代理 ID- GuardDuty 安全代理的唯一标识符。

• 威胁情报详细信息：威胁列表名称，其中会显示已识别出的 Threat name。

• 威胁名称：与威胁相关的恶意软件系列名称或其他标识符。

• 威胁文件 SHA256 — SHA256 生成发现的文件。

• Anomalous APIs — 用户身份在与调查结果关联的主要 API 请求附近调用的 API 请求列表。此窗格通过以下方式进一步细分 API 事件的详细信息。

  • 列出的第一个 API 是主要 API，即与最高风险观测活动关联的 API 请求。该 API 是触发调查发现的 API，与调查发现类型的攻击阶段相关联，也是控制台的操作部分，以及调查发现的 JSON 中详细介绍的 API。

  • APIs 列出的任何其他用户身份都是在主要 API 附近观察 APIs 到的所列用户身份中的其他异常情况。如果列表中只有一个 API，则机器学习模型不会将来自该用户身份的任何其他 API 请求识别为异常。

  • 列表根据是否成功调用 API 或 API 调用失败（即已收到错误响应）进行划分。 APIs 收到的错误响应类型列在每个未成功调用的 API 的上方。可能的错误响应类型有：access denied、access denied exception、auth failure、instance limit exceeded、invalid permission - duplicate、invalid permission - not found、和 operation not permitted。

  • APIs 按其相关服务进行分类。

  • APIs要了解更多背景信息，请选择 Historical（历史）以查看有关顶部的 APIs详细信息，最多 20 个，通常同时显示用户身份和账户内所有用户。根据您账户中的使用频率，分别标记为 “稀 APIs 有”（每月少于一次）、“不频繁”（每月几次）或 “频繁”（从每天到每周）。

• 异常行为（账户）：本部分提供有关您账户的已剖析行为的更多详细信息。

  已分析的行为

  GuardDuty 根据已交付的事件持续了解您账户中的活动。这些活动及其观察到的频率成为已分析的行为。

  此面板中跟踪的信息包括：

  • ASN 组织：发出异常 API 调用的自治系统编号（ASN）组织。

  • 用户名称：发出异常 API 调用的用户的名称。

  • 用户代理：用于发出异常 API 调用的用户代理。用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 用户类型：发出异常 API 调用的用户类型。可能的值为 AWS_SERVICE、ASSUMED_ROLE、IAM_USER 或 ROLE。

  • 存储桶：正在经受访问的 S3 存储桶的名称。

• 异常行为（用户身份）：本部分提供了有关调查发现所涉及的用户身份剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前没有看到此用户身份在训练期内以这种方式进行此 API 调用。有关用户身份的以下其他详细信息可用：

  • ASN 组织：发出异常 API 调用的 ASN 组织。

  • 用户代理：用于发出异常 API 调用的用户代理。用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 存储桶：正在经受访问的 S3 存储桶的名称。

• 不常见行为（存储桶）：本部分提供与调查发现关联的 S3 存储桶已剖析行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型以前在训练期内未见过以这种方式对该存储桶进行的 API 调用。此部分中跟踪的信息包括：

  • ASN 组织：发出异常 API 调用的 ASN 组织。

  • 用户名称：发出异常 API 调用的用户的名称。

  • 用户代理：用于发出异常 API 调用的用户代理。用户代理是用于发出调用的方法，例如 aws-cli 或 Botocore。

  • 用户类型：发出异常 API 调用的用户类型。可能的值为 AWS_SERVICE、ASSUMED_ROLE、IAM_USER 或 ROLE。

  注意

  有关历史行为的更多上下文，请在不常见行为（账户）、用户 ID 或存储桶部分中，选择历史行为，查看有关您账户中以下每个类别的预期行为的详细信息：稀有（每月少于一次）、不频繁（每月几次）或频繁（每天到每周），具体取决于在您账户中的使用频率。

• 不常见行为（数据库）：本部分提供有关数据库实例剖析行为的更多详细信息，该实例与调查发现相关联。如果某项行为未被识别为历史行为，则意味着 GuardDuty ML 模型在训练期内未曾尝试以这种方式登录该数据库实例。在调查发现面板中针对此部分跟踪的信息包括：

  • 用户名：用于进行异常登录尝试的用户名。

  • ASN 组织：发出异常登录尝试的 ASN 组织。

  • 应用程序名称：用于进行异常登录尝试的应用程序名称。

  • 数据库名称：数据库实例的名称，在异常登录尝试中包含该实例。

  历史行为部分提供了有关先前观察到的相关数据库的用户名、ASN 组织、应用程序名称和数据库名称的更多上下文。每个唯一值都有一个关联的计数，表示在成功登录事件中观察到该值的次数。

• GetObject

• CopyObject.Read

• SelectObjectContent

• 在过去 24 小时内，与受影响的 S3 存储桶关联的 IAM 用户或 IAM 角色调用（取决于发出的是哪个）的 s3-api-name API 调用次数。

• 在过去 24 小时内，与所有 S3 存储桶关联的 IAM 用户或 IAM 角色调用（取决于发出的是哪个）的 s3-api-name API 调用次数。

• 在过去 24 小时内，与受影响的 S3 存储桶关联的 IAM 用户或 IAM 角色（取决于发出的是哪个）中的 s3-api-name API 调用次数。

• successfulLoginCount— 此计数器表示异常行为者成功连接到数据库实例的总和（登录属性的正确组合）。登录属性包括用户名、密码和数据库名称。

• failedLoginCount— 此计数器表示为建立与数据库实例的连接而进行的失败（失败）登录尝试的总和。这表明登录组合的一个或多个属性（例如用户名、密码或数据库名称）不正确。

• incompleteConnectionCount— 此计数器表示无法归类为成功或失败的连接尝试次数。这些连接在数据库提供响应之前就已关闭。例如，在端口扫描中已连接数据库端口，但没有向数据库发送任何信息，或者在成功或失败的尝试中，连接在登录完成前中止。