结果结果的详细信息

• 账户 ID — 活动发生时Amazon账户的 ID，用于提示生成 GuardDuty 此调查结果。

• 计数 — 将与此模式匹配的活动汇总到此发现 ID 的次 GuardDuty 数。

• 创建时间 — 首次创建此查找结果的时间和日期。如果此值不同于 U pdated at，则表示该活动已发生多次，并且是一个持续存在的问题。

  注意

  GuardDuty 控制台中发现结果的时间戳以您的本地时区显示，而 JSON 导出和 CLI 输出以 UTC 显示时间戳。

• 查找 ID — 此查找结果类型和参数集的唯一标识符。与此模式匹配的新活动实例将聚合到同一 ID 中。

• 查找类型-表示触发查找结果的活动类型的格式化字符串。有关更多信息，请参阅GuardDuty 查找格式：

• 区域 — 生成发现结果的Amazon区域。有关支持的区域的更多信息，请参阅区域和终端节点。

• 资源 ID — 活动所针对的Amazon资源的 ID，该活动提示生成 GuardDuty 此调查结果。

• 扫描 ID — 适用于启用 GuardDuty 恶意软件保护时的发现，这是在连接到可能受感染的 EC2 实例或容器工作负载的 EBS 卷上运行的恶意软件扫描的标识符。有关更多信息，请参阅恶意软件保护结果详细信息：

• 严重性 — 调查结果指定的严重性级别为 “高”、“中” 或 “低”。有关更多信息，请参阅 GuardDuty 发现的严重性级别：

• 更新时间 —上次使用与提示 GuardDuty生成此发现的模式相匹配的新活动更新此发现的时间。

• 用户 — 用于进行异常登录尝试的用户名。

• 应用程序-用于进行异常登录尝试的应用程序名称。

• 数据库-异常登录尝试中涉及的数据库实例的名称。

• SSL — 用于网络的安全套接字层 (SSL) 的版本。

• 身份验证方法-参与调查的用户使用的身份验证方法。

流程细节

• N ame — 进程的名称。

• 可执行路径-流程可执行文件的绝对路径。

• 可执行文件 SHA-256 — 可执行进程的SHA256哈希。

• 命名空间 P ID — 除主机级 PID 命名空间之外的辅助 PID 命名空间中进程的进程 ID。对于容器内的进程，它是容器内观察到的进程 ID。

• 当前工作目录-进程的当前工作目录。

• 进程 ID — 操作系统分配给进程的 ID。

• StartT ime — 进程启动的时间。这是 UTC 日期字符串格式 (2023-03-22T19:37:20.168Z)。

• UUID — 分配给进程的唯一 ID GuardDuty。

• 父 UUID — 父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

• 用户-执行流程的用户。

• 用户 ID — 执行流程的用户的 ID。

• 有效用户 ID-事件发生时流程的有效用户 ID。

• 世系 — 有关流程祖先的信息。

  • 进程 ID — 操作系统分配给进程的 ID。

  • UUID — 分配给进程的唯一 ID GuardDuty。

  • 可执行路径-流程可执行文件的绝对路径。

  • 有效用户 ID-事件发生时流程的有效用户 ID。

  • 父 UUID — 父进程的唯一 ID。此 ID 由分配给父进程 GuardDuty。

  • 开始时间-进程开始的时间。

  • 命名空间 P ID — 除主机级 PID 命名空间之外的辅助 PID 命名空间中进程的进程 ID。对于容器内的进程，它是容器内观察到的进程 ID。

  • 用户 ID — 执行进程的用户的用户 ID。

  • N ame — 进程的名称。

运行时上下文

在以下字段中，生成的查找结果可能仅包含与查找结果类型相关的字段。

• 装载源 — 容器在主机上装载的路径。

• 装载目标 — 容器中映射到主机目录的路径。

• 文件系统类型 — 表示已装载文件系统的类型。

• 标志 — 表示控制此发现所涉及事件行为的选项。

• 修改进程-有关运行时在容器内创建或修改二进制文件、脚本或库的进程的信息。

• 修改时间-运行时进程在容器内创建或修改二进制文件、脚本或库的时间戳。此字段采用 UTC 日期字符串格式 (2023-03-22T19:37:20.168Z)。

• 库路径 — 加载的新库的路径。

• LD 预加载值-LD_PRELOAD 环境变量的值。

• 套接字路径 — 访问的 Docker 套接字路径。

• Runc 二进制路径 —runc 二进制文件的路径。

• 发布代理路径 —cgroup 发行代理文件的路径。

• 扫描 ID — 恶意软件扫描的标识符。

• 扫描开始的日期和时间 — 恶意软件扫描的日期和时间。

• A@@ rchive co mpleted cove copleted copleted on

• 触发发现 ID — 启动此恶意软件扫描的 GuardDuty 发现的发现 ID。

• 来源-可能的值为Bitdefender和Amazon。

• 扫描检测-每次恶意软件扫描的详细信息和结果的完整视图。

  • 扫描的项目数-扫描的文件总数。它提供诸如totalGbfiles、和之类的详细信息volumes。

  • 检测到的威胁项目数-扫描期间files检测到的恶意软件总数。

  • 最高严重性威胁详细信息-扫描期间检测到的最高严重性威胁的详细信息以及恶意文件数量。它提供诸如severitythreatName、和之类的详细信息count。

  • 按名称检测到的威胁-容器元素将所有严重级别的威胁分组。它提供诸如itemCount、uniqueThreatNameCountshortened、和之类的详细信息threatNames。

• NETWORK_ CONNECTION — 表示已识别的 EC2 实例和远程主机之间交换了网络流量。此操作类型具有以下额外信息：

  • 连接方向 — 在提示 GuardDuty 生成调查结果的活动中观察到的网络连接方向。它可以是以下值之一：

    • IN BOUND — 表示远程主机启动了与您账户中已识别的 EC2 实例上的本地端口的连接。

    • O@@ U TBOUNT — 表示已识别的 EC2 实例启动了与远程主机的连接。

    • 未知 — 表示 GuardDuty 无法确定连接方向。

  • 协议 — 在提示 GuardDuty 生成调查结果的活动中观察到的网络连接协议。

  • 本地 IP — 触发发现的流量的原始来源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查结果的流量的原始源 IP 地址。例如，EKS pod 的 IP 地址与运行 EKS pod 的实例的 IP 地址。

  • 阻塞-表示目标端口是否被阻塞。

• P@@ ORT_PROBE — 表示远程主机在多个开放端口上探测了已识别的 EC2 实例。此操作类型具有以下额外信息：

  • 本地 IP — 触发发现的流量的原始来源 IP 地址。此信息可用于区分流量流经的中间层的 IP 地址与触发调查结果的流量的原始源 IP 地址。例如，EKS pod 的 IP 地址与运行 EKS pod 的实例的 IP 地址。

  • 阻塞-表示目标端口是否被阻塞。

• DNS_ REQUEST — 表示已识别的 EC2 实例查询了域名。此操作类型具有以下额外信息：

  • 协议 — 在提示 GuardDuty 生成调查结果的活动中观察到的网络连接协议。

  • 阻塞-表示目标端口是否被阻塞。

• AWS_API_C ALL — 表示调用了Amazon API。此操作类型具有以下额外信息：

  • API — 被调用并因此提示生成此发现的 API 操作 GuardDuty 的名称。

    注意

    这些操作还可以包括捕获的非 API 事件Amazon CloudTrail。有关更多信息，请参阅捕获的非 API 事件 CloudTrail。

  • 用户代理 — 发出 API 请求的用户代理。此值告诉您调用是从Amazon Web Services Management Console、Amazon服务、SAmazon DK 还是Amazon CLI。

  • 错误代码 — 如果查找结果是由失败的 API 调用触发的，则会显示该调用的错误代码。

  • 服务名称 — 尝试进行触发调查结果的 API 调用的服务的 DNS 名称。

• RDS_LOGIN_ ATTEPTION — 表示有人尝试从远程 IP 地址登录可能受感染的数据库。

  • IP 地址 — 用于进行潜在可疑登录尝试的远程 IP 地址。

• 名称 — 威胁的名称，通过检测对文件进行分组获得。

• 严重性-检测到的威胁的严重程度。

• 哈希 — 文件的 SHA-256。

• 文件路径 — 恶意文件在 EBS 卷中的位置。

• 文件名称 — 检测到威胁的文件的名称。

• 卷 ARN — 已扫描的 EBS 卷的 ARN。

• 扫描 ID — 恶意软件扫描的扫描 ID。

• 扫描开始的日期和时间 — 扫描开始的日期和时间。

• A@@ rchive co mpleted on copleted copleted on

• 扫描的文件-扫描的文件和目录的总数。

• 扫描的总容量 GB-在此过程中扫描的存储量。

• 触发器发现 ID — 启动此恶意软件扫描的 GuardDuty 发现的发现 ID。

• 以下信息位于详细信息面板的音量详细信息部分下。

  • 卷 ARN — 卷的亚马逊资源名称（ARN）。

  • SnapshotArn — EBS 卷快照的 ARN。

  • 状态 — 卷的扫描状态，例如RunningSkipped、和Completed。

  • 加密类型-用于加密卷的加密类型。例如，CMCMK。

  • 设备名称 — 设备名称。例如，/dev/xvda。

• 关联 —有关远程 API 调用者的Amazon帐户是否与您的 GuardDuty 环境相关的详细信息。如果此值为true，则 API 调用者以某种方式关联到您的账户；如果是false，则 API 调用者来自您的环境之外。

• 远程账户 ID — 拥有用于访问最终网络资源的出口 IP 地址的账户 ID。

• IP 地址 — 提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址。

• 位置 — 提示 GuardDuty 生成调查结果的活动所涉的 IP 地址的位置信息。

• 组织 — 提示 GuardDuty 生成调查结果的活动所涉的 IP 地址的 ISP 组织信息。

• 端口 — 提示 GuardDuty 生成查找结果的活动所涉及的端口号。

• 域 — 提示 GuardDuty 生成查找结果的活动所涉及的域。

• 威胁列表名称 — 威胁列表的名称，其中包括提示 GuardDuty 生成调查结果的活动所涉及的 IP 地址或域名。

• 示例-一个真值还是假值，表示这是否是样本发现。

• 已存档 — 一个真值或错误值，表示此查找结果是否已存档。

• 异常-历史上未观察到的活动细节。其中可能包括不寻常（以前未观察到的）用户、位置、时间、存储桶、登录行为或 ASN 组织。

• 异常协议-提示 GuardDuty 生成调查结果的活动所涉及的网络连接协议。

• 代理详细信息 — 有关当前部署在您的 EKS 集群上的安全代理的详细信息Amazon Web Services 账户。这仅适用于 EKS 运行时监控查找类型。

  • 代理版本- GuardDuty 安全代理的版本。

  • 代理 ID — GuardDuty 安全代理的唯一标识符。

• 威胁情报详细信息 — 识别出的威胁列表的名称Threat name出现在该列表中。

• 威胁名称-与威胁相关的恶意软件家族的名称或其他标识符。

• 异常 API — 用户身份在与调查结果相关的主 API 请求附近调用的 API 请求列表。此窗格通过以下方式进一步细分 API 事件的详细信息。

  • 列出的第一个 API 是主要 API，它是与风险最高的观测活动相关的 API 请求。这是触发查找结果的 API，与查找类型的攻击阶段相关联。这也是控制台的 “操作” 部分和调查结果的 JSON 中详细介绍的 API。

  • 列出的任何其他 API 都是在主 API 附近观察到的来自所列用户身份的额外异常 API。如果列表中只有一个 API，则机器学习模型不会将来自该用户身份的任何其他 API 请求识别为异常。

  • API 列表根据 API 是否成功调用，或者调用 API 是否失败（即收到了错误响应）进行划分。收到的错误响应的类型列在每个调用失败的 API 上方。可能的错误响应类型为：access deniedaccess denied exception、auth failure、instance limit exceeded、invalid permission - duplicate、invalid permission - not found、和operation not permitted。

  • API 按其关联服务进行分类。

  注意

  如需了解更多背景信息，请选择 Historical API 以查看有关顶级 API 的详细信息，最多 20 个，通常适用于用户身份和账户内所有用户。这些 API 标记为稀有（每月少于一次）、不频繁（每月几次）或频繁（每天到每周），具体取决于它们在您的账户中的使用频率。

• 异常行为（账户）— 本部分提供有关您的账户的已分析行为的更多详细信息。此面板中跟踪的信息包括：

  • ASN 组织 — 发出异常 API 调用的 ASN 组织。

  • 用户名 — 进行异常 API 调用的用户的名称。

  • 用户代理 — 用于进行异常 API 调用的用户代理。用户代理是用于进行调用的方法，例如aws-cli或Botocore。

  • 用户类型 — 进行异常 API 调用的用户类型。可能的值是AWS_SERVICEASSUMED_ROLE、IAM_USER、或ROLE。

  • 存储桶 —正在访问的 S3 存储桶的名称。

• 异常行为（用户身份）— 本节提供了有关调查结果所涉及的用户身份的概要行为的更多详细信息。当某项行为未被识别为历史行为时，这意味着 GuardDuty ML 模型在训练期内之前没有看到此用户身份以这种方式进行此 API 调用。以下有关用户身份的其他详细信息可用：

  • ASN 组织 — 发出异常 API 调用的 ASN 组织。

  • 用户代理 — 用于进行异常 API 调用的用户代理。用户代理是用于进行调用的方法，例如aws-cli或Botocore。

  • 存储桶 —正在访问的 S3 存储桶的名称。

• 异常行为（存储桶）— 本节提供有关与调查结果相关的 S3 存储桶的分析行为的更多详细信息。当某个行为未被识别为历史行为时，这意味着 GuardDuty ML 模型在训练期内之前没有看到过以这种方式对该存储段进行的 API 调用。本节中跟踪的信息包括：

  • ASN 组织 — 发出异常 API 调用的 ASN 组织。

  • 用户名 — 进行异常 API 调用的用户的名称。

  • 用户代理 — 用于进行异常 API 调用的用户代理。用户代理是用于进行调用的方法，例如aws-cli或Botocore。

  • 用户类型 — 进行异常 API 调用的用户类型。可能的值是AWS_SERVICEASSUMED_ROLE、IAM_USER、或ROLE。

  注意

  要了解有关历史行为的更多背景信息，请在 “异常行为（账户）、用户 ID 或存储桶” 部分中选择 “历史行为”，查看您的账户中以下每个类别的预期行为的详细信息：罕见（每月少于一次）、不频繁（每月几次）或频繁（每天到每周），具体取决于您的账户中使用这些行为的频率。

• 异常行为（数据库）-本节提供有关与查找结果相关的数据库实例的概要行为的更多详细信息。如果某一行为未被识别为历史行为，则表示 GuardDuty 机器学习模型在训练期内以前从未尝试过以这种方式登录该数据库实例。在查找结果面板中跟踪的此部分的信息包括：

  • 用户名 — 用于进行异常登录尝试的用户名。

  • ASN 组织 — 进行异常登录尝试的 ASN 组织。

  • 应用程序名称-用于进行异常登录尝试的应用程序名称。

  • 数据库名称-异常登录尝试中涉及的数据库实例的名称。

  注意

  历史行为部分提供了有关先前观察到的关联数据库的用户名、ASN 组织、应用程序名称和数据库名称的更多背景信息。每个唯一值都有一个关联的计数，表示在成功登录事件中观察到该值的次数。

• GetObject

• CopyObject.Read

• SelectObjectContent

• 过去 24 小时内用户对受影响的 S3 存储桶调用的s3-api-name API 调用次数。

• 过去 24 小时内用户在所有 S3 存储段上调用的s3-api-name API 调用次数。

• 过去 24 小时内所有用户对受影响的 S3 存储桶的s3-api-name API 调用次数。

• successfulLoginCount— 此计数器表示异常操作者与数据库实例建立的成功连接（登录属性的正确组合）的总和。登录属性包括用户名、密码和数据库名称。

• failedLoginCount— 此计数器表示为建立与数据库实例的连接而进行的失败（不成功）登录尝试的总和。这表示登录组合的一个或多个属性，例如用户名、密码或数据库名称，不正确。

• incompleteConnectionCount— 此计数器表示无法归类为成功或失败的连接尝试次数。在数据库提供响应之前，这些连接将被关闭。例如，端口扫描，其中连接了数据库端口，但没有向数据库发送任何信息，或者连接在成功或失败的尝试中在登录完成之前中止。