收集的 GuardDuty使用运行时事件类型 - 亚马逊 GuardDuty
处理事件容器事件Amazon Fargate （仅限 Amazon ECS）任务事件Kubernetes 容器组事件域名系统（DNS）事件公开事件加载模块事件Mprotect 事件挂载事件链接事件符号链接事件Dup 事件内存映射事件套接字事件连接事件进程 VM Readv 事件进程 VM Writev 事件进程跟踪（Ptrace）事件绑定事件侦听事件重命名事件设置用户 ID（UID）事件Chmod 事件
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

收集的 GuardDuty使用运行时事件类型

GuardDuty 安全代理收集以下事件类型并将其发送到 GuardDuty后端以进行威胁检测和分析。 GuardDuty 不会让你访问这些事件。如果 GuardDuty 检测到潜在威胁并生成了运行时监控调查发现类型，则可以查看相应的发现详细信息。

有关如何在运行时监控中 GuardDuty 使用收集的事件类型的信息，请参阅选择不使用您的数据来改进服务。

处理事件

流程事件表示与 Amazon EC2 实例和容器工作负载上运行的进程相关的信息。下表包含了运行时监控为了检测潜在威胁而收集的进程事件的字段名称和描述。

字段名称 说明

进程名称

观察到的进程的名称。

进程路径

进程可执行文件的绝对路径。

进程 ID

操作系统分配给进程的 ID。

命名空间 PID

除主机级 PID 命名空间外，二级 PID 命名空间中的进程 ID。对于容器内的进程，命名空间 PID 是容器内观察到的进程 ID。

进程用户 ID

执行进程的用户的唯一 ID。

进程 UUID

分配给流程的唯一 ID GuardDuty。

进程 GID

进程组的进程 ID。

进程 EGID

进程组的有效组 ID。

进程 EUID

进程的有效用户 ID。

进程用户名

执行进程的用户名。

进程开始时间

创建进程的时间。该字段采用 UTC 日期字符串格式（2023-03-22T19:37:20.168Z）。

进程可执行文件 SHA-256

进程可执行文件的 SHA256 哈希值。

进程脚本路径

执行的脚本文件的路径。

进程环境变量

可供进程使用的环境变量。仅收集 LD_PRELOAD 和 LD_LIBRARY_PATH。

进程当前工作目录（PWD）

进程的当前工作目录。

父进程

父进程的进程详细信息。父进程是创建观察到的进程的进程。

命令行参数

目前，此字段仅限于与资源类型对应的特定代理版本：

  • 带有 GuardDuty 安全代理 v1.0.0 及更高版本的 Fargate（仅限亚马逊 ECS）。

  • 使用 GuardDuty 安全代理 v1.0.0 及更高版本的 Amazon EC2 实例。

  • 使用安全代理 v1.4.0 及更高版本的 Amazon EKS 集群。

有关更多信息，请参阅 GuardDuty 安全代理发布版本。

进程执行时提供的命令行参数。此字段可能包含敏感的客户数据。

容器事件

容器事件表示与容器工作负载活动相关的信息。下表包含了运行时监控为了检测潜在威胁而收集的容器工作负载事件的字段名称和描述。

字段名称 说明

容器名称

容器的名称。

如果可用，该字段将显示标签 io.kubenetes.container.name 的值。

容器 UID

容器运行时分配的容器的唯一 ID。

容器运行时

用于运行容器的容器运行时（例如 docker 或 containerd）。

容器映像 ID

容器映像的 ID。

容器映像名称

容器映像的名称。

Amazon Fargate （仅限 Amazon ECS）任务事件

Fargate-Amazon ECS 任务事件表示与在 Fargate 计算机上运行的 Amazon ECS 任务相关的活动。下表包含了运行时监控为了检测潜在威胁而收集的 Amazon ECS-Fargate 任务事件的字段名称和描述。

字段名称 说明

Amazon 资源名称（ARN）

任务的 ARN。

集群名称

Amazon ECS 集群的名称。

系列名称

任务定义的系列名称。family 用作任务定义的名称，任务定义用于启动任务。

服务名称

Amazon ECS 服务的名称（如果任务是作为服务的一部分启动的）。

启动类型

用于任务运行的基础设施。对于资源类型为 ECSCluster 的运行时监控，启动类型可以是 EC2，也可以是 FARGATE。

CPU

任务定义中表示的任务所用 CPU 单元数。

Kubernetes 容器组事件

下表包含了运行时监控为了检测潜在威胁而收集的 Kubernetes 容器组（pod）事件的字段名称和描述。

字段名称 说明

容器组 ID

Kubernetes 容器组的 ID。

容器组名称

Kubernetes 容器组的名称。

容器组命名空间

Kubernetes 工作负载所属的 Kubernetes 命名空间的名称。

Kubernetes 集群名称

Kubernetes 集群的名称。

域名系统（DNS）事件

域名系统（DNS）事件包括您的资源类型进行的 DNS 查询以及相应响应的详细信息。下表包含了运行时监控为了检测潜在威胁而收集的 DNS 事件的字段名称和描述。

字段名称 说明

套接字类型

指示通信语义的套接字类型。例如 SOCK_RAW。

地址系列

表示与地址关联的通信协议。例如，地址系列 AF_INET 用于 IP v4 协议。

方向 ID

连接方向的 ID。

协议编号

第 4 层协议编号，例如 UDP 为 17，TCP 为 6。

DNS 远程端点 IP

连接的远程 IP。

DNS 远程端点端口

连接的端口号。

DNS 本地端点 IP

连接的本地 IP。

DNS 本地端点端口

连接的端口号。

DNS 有效负载

包含 DNS 查询和响应的 DNS 数据包的有效负载。

公开事件

打开事件与文件访问和修改有关。下表包含了运行时监控为了检测潜在威胁而收集的打开事件的字段名称和描述。

字段名称 说明

文件路径

在此事件中打开的文件的路径。

Flags

描述文件访问模式，例如只读、只写和读写。

加载模块事件

下表包含了运行时监控为了检测潜在威胁而收集的加载模块事件的字段名称和描述。

字段名称 说明

模块名称

加载到内核中的模块的名称。

Mprotect 事件

Mprotect 事件提供有关在被监控系统上运行的进程的内存保护设置更改的信息。下表包含了运行时监控为了检测潜在威胁而收集的 Mprotect 事件的字段名称和描述。

字段名称 说明

地址范围

修改访问保护的地址范围。

内存区域

指定进程地址空间的区域，例如堆栈和堆。

Flags

表示控制此事件行为的选项。

挂载事件

挂载事件提供与在被监控资源上挂载和卸载文件系统有关的信息。下表包含了运行时监控为了检测潜在威胁而收集的挂载事件的字段名称和描述。

字段名称 说明

挂载目标

挂载源的挂载路径。

挂载源

挂载到挂载目标的主机上的路径。

文件系统类型

表示挂载的文件系统的类型。

Flags

表示控制此事件行为的选项。

链接事件可让您了解被监控资源中的文件系统链接管理活动。下表包含了运行时监控为了检测潜在威胁而收集的链接事件的字段名称和描述。

字段名称 说明

链接路径

创建硬链接的路径。

目标路径

硬链接指向的文件路径。

Symlink 事件可让您了解被监控资源中的文件系统符号链接管理活动。下表包含了运行时监控为了检测潜在威胁而收集的 symlink 事件的字段名称和描述。

字段名称 说明

链接路径

创建符号链接的路径。

目标路径

符号链接指向的文件路径。

Dup 事件

Dup 事件可让您了解在被监控资源上运行的进程重复使用文件描述符的情况。下表包含了运行时监控为了检测潜在威胁而收集的 dup 事件的字段名称和描述。

字段名称

说明

旧文件描述符

表示打开的文件对象的文件描述符。

新文件描述符

与旧文件描述符重复的新文件描述符。新旧文件描述符表示同一个打开的文件对象。

Dup 远程端点 IP

由旧文件描述符表示的网络套接字的远程 IP 地址。仅当旧文件描述符表示网络套接字时才适用。

Dup 远程端点端口

由旧文件描述符表示的网络套接字的远程端口。仅当旧文件描述符表示网络套接字时才适用。

Dup 本地端点 IP

由旧文件描述符表示的网络套接字的本地 IP 地址。仅当旧文件描述符表示网络套接字时才适用。

Dup 本地端点端口

由旧文件描述符表示的网络套接字的本地端口。仅当旧文件描述符表示网络套接字时才适用。

内存映射事件

下表包含了运行时监控为了检测潜在威胁而收集的内存映射事件的字段名称和描述。

字段名称 说明

文件路径

内存映射到的文件的路径。

套接字事件

套接字事件提供有关被监控资源的活动中使用的网络套接字连接的信息。下表包含了运行时监控为了检测潜在威胁而收集的套接字事件的字段名称和描述。

字段名称 说明

地址系列

表示与地址关联的通信协议。例如，地址系列 AF_INET 用于 IP 版本 4 协议。

套接字类型

指示通信语义的套接字类型。例如 SOCK_RAW。

协议编号

指定地址系列中的特定协议。通常，地址系列中只有一个协议。例如，地址系列 AF_INET 只有 IP 协议。

连接事件

连接事件可让您了解进程在被监控资源上建立的网络连接。下表包含了运行时监控为了检测潜在威胁而收集的连接事件的字段名称和描述。

字段名称 说明

地址系列

表示与地址关联的通信协议。例如，地址系列 AF_INET 用于 IP v4 协议。

套接字类型

指示通信语义的套接字类型。例如 SOCK_RAW。

协议编号

指定地址系列中的特定协议。通常，地址系列中只有一个协议。例如，地址系列 AF_INET 只有 IP 协议。

文件路径

地址系列为 AF_UNIX 时的套接字文件的路径。

远程端点 IP

连接的远程 IP。

远程端点端口

连接的端口号。

本地端点 IP

连接的本地 IP。

本地端点端口

连接的端口号。

进程 VM Readv 事件

进程虚拟机 readv 事件可让您了解进程在自身虚拟内存区域上执行的读取操作。下表包含了运行时监控为了检测潜在威胁而收集的进程虚拟机 readv 事件的字段名称和描述。

字段名称 说明

Flags

表示控制此事件行为的选项。

目标 PID

正在从中读取内存的进程的进程 ID。

目标进程 UUID

目标进程的唯一 ID。

目标可执行文件路径

目标进程可执行文件的绝对路径。

进程 VM Writev 事件

进程虚拟机 writev 事件可让您了解进程在自身虚拟内存区域上执行的写入操作。下表包含了运行时监控为了检测潜在威胁而收集的进程虚拟机 writev 事件的字段名称和描述。

字段名称 说明

Flags

表示控制此事件行为的选项。

目标 PID

正在向其写入内存的进程的进程 ID。

目标进程 UUID

目标进程的唯一 ID。

目标可执行文件路径

目标进程可执行文件的绝对路径。

进程跟踪（Ptrace）事件

进程跟踪（Ptrace）系统调用是一种调试和跟踪机制，可让一个进程（跟踪者）观察和控制另一个进程（被跟踪者）的执行。这使跟踪者能够检查和修改目标进程的内存、寄存器和执行流。

Ptrace 事件可让您了解在被监控资源上运行的进程使用 ptrace 系统调用的情况。下表包含了运行时监控为了检测潜在威胁而收集的 ptrace 事件的字段名称和描述。

字段名称 说明

目标 PID

目标进程的进程 ID。

目标进程 UUID

目标进程的唯一 ID。

目标可执行文件路径

目标进程可执行文件的绝对路径。

Flags

表示控制此事件行为的选项。

绑定事件

绑定事件可让您了解在被监控资源上运行的进程与网络套接字的绑定情况。下表包含了运行时监控为了检测潜在威胁而收集的绑定事件的字段名称和描述。

字段名称 说明

地址系列

表示与地址关联的通信协议。例如，地址系列 AF_INET 用于 IP v4 协议。

套接字类型

指示通信语义的套接字类型。例如 SOCK_RAW。

协议编号

第 4 层协议编号，例如 UDP 为 17，TCP 为 6。

本地端点 IP

连接的本地 IP。

本地端点端口

连接的端口号。

侦听事件

侦听事件可让您了解网络套接字侦听状态，指示网络套接字是否已准备好接受传入的连接。在被监控资源上运行的进程会将网络套接字设置为正在侦听状态。下表包含了运行时监控为了检测潜在威胁而收集的侦听事件的字段名称和描述。

字段名称 说明

地址系列

表示与地址关联的通信协议。例如，地址系列 AF_INET 用于 IP v4 协议。

套接字类型

指示通信语义的套接字类型。例如 SOCK_RAW。

协议编号

第 4 层协议编号，例如 UDP 为 17，TCP 为 6。

本地端点 IP

连接的本地 IP。

本地端点端口

连接的端口号。

重命名事件

重命名事件提供有关在被监控资源上运行的进程对文件和目录进行重命名的信息。下表包含了运行时监控为了检测潜在威胁而收集的重命名事件的字段名称和描述。

字段名称 说明

文件路径

被重命名文件的路径。

目标

该文件的新路径。

设置用户 ID（UID）事件

设置用户 ID（UID）事件可让您了解对与被监控资源上正在运行的进程关联的用户 ID（UID）进行的更改。下表包含了运行时监控为了检测潜在威胁而收集的设置 UID 事件的字段名称和描述。

字段名称 说明

新 EUID

进程的新有效用户 ID。

新 UID

进程的新用户 ID。

Chmod 事件

Chmod 事件可让您了解被监控资源上文件和目录的权限（模式）变化。下表包含了运行时监控为了检测潜在威胁而收集的 chmod 事件的字段名称和描述。

字段名称 说明

文件路径

调用该事件的文件路径。

文件模式

更新后的相关文件访问权限。