Erkenntnisdetails

• Konto-ID — Die ID des AWS Kontos, in dem die Aktivität stattgefunden hat, die GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Anzahl — Die Häufigkeit, mit der eine Aktivität, die diesem Muster entspricht, dieser Ergebnis-ID zugeordnet wurde, zusammengefasst GuardDuty wurde.

• Erstellt am – Uhrzeit und Datum des Zeitpunkts, an dem diese Erkenntnis erstmals erstellt wurde. Wenn dieser Wert von Aktualisiert am abweicht, bedeutet dies, dass die Aktivität mehrfach stattgefunden hat und ein fortlaufendes Problem darstellt.

  Anmerkung

  Zeitstempel für Ergebnisse in der GuardDuty Konsole werden in Ihrer lokalen Zeitzone angezeigt, während JSON-Exporte und CLI-Ausgaben Zeitstempel in UTC anzeigen.

• Erkenntnis-ID – Eine eindeutige Erkenntnis-ID für diesen Erkenntnistyp und Parametersatz. Neue Vorkommen von Aktivitäten, die diesem Muster entsprechen, werden für dieselbe ID aggregiert.

• Erkenntnistyp – Eine formatierte Zeichenfolge, die den Typ der Aktivität darstellt, durch den die Erkenntnis ausgelöst wurde. Weitere Informationen finden Sie unter GuardDuty Format finden.

• Region — Die AWS Region, in der das Ergebnis generiert wurde. Weitere Informationen zu unterstützten Regionen finden Sie unter Regionen und Endpunkte

• Ressourcen-ID — Die ID der AWS Ressource, für die die Aktivität stattfand, die GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Scan-ID — Gilt für Ergebnisse, wenn GuardDuty Malware Protection for EC2 aktiviert ist. Dies ist eine Kennung des Malware-Scans, der auf den EBS-Volumes ausgeführt wird, die an die potenziell gefährdete EC2-Instance oder den Container-Workload angeschlossen sind. Weitere Informationen finden Sie unter Einzelheiten zur Suche nach Schadsoftware Protection for EC2.

• Schweregrad — Der einem Befund zugewiesene Schweregrad ist entweder Kritisch, Hoch, Mittel oder Niedrig. Weitere Informationen finden Sie unter Schweregrad der Ergebnisse.

• Aktualisiert am — Das letzte Mal, als dieses Ergebnis mit neuen Aktivitäten aktualisiert wurde, die dem Muster entsprechen, das GuardDuty zur Generierung dieses Ergebnisses geführt hat.

• Überblick — Bietet einen kompakten Überblick über die Details der Angriffssequenz, einschließlich Signalen, MITRE-Taktiken und potenziell betroffenen Ressourcen.

• Signale — Zeigt eine Zeitleiste der Ereignisse an, die an einer Angriffssequenz beteiligt sind.

• Ressourcen — Stellt Informationen über die potenziell betroffenen Ressourcen oder die potenziell gefährdeten Ressourcen bereit.

• Benutzer – Der Benutzername, der für den anomalen Anmeldeversuch verwendet wurde.

• Anwendung – Der Anwendungsname, der für den anomalen Anmeldeversuch verwendet wurde.

• Datenbank – Der Name der Datenbank-Instance, die an dem anomalen Anmeldeversuch beteiligt war.

• SSL – Die für das Netzwerk verwendete Version von Secure Socket Layer (SSL).

• Authentifizierungsmethode – Die Authentifizierungsmethode, die von dem Benutzer verwendet wurde, der an der Erkenntnis beteiligt war.

Details zum Prozess

• Name – Der Name des Prozesses.

• Ausführbarer Pfad – Absoluter Pfad der ausführbaren Zieldatei des Prozesses.

• Ausführbar SHA-256 — Der SHA256 Hash der ausführbaren Datei des Prozesses.

• Namespace-PID – Die Prozess-ID des Prozesses in einem sekundären PID-Namespace, bei dem es sich nicht um den PID-Namespace auf Host-Ebene handelt. Bei Prozessen innerhalb eines Containers ist dies die Prozess-ID, die innerhalb des Containers beobachtet wird.

• Derzeitiges Arbeitsverzeichnis – Das aktuelle Arbeitsverzeichnis des Prozesses.

• Prozess-ID – Die ID, die dem Prozess vom Betriebssystem zugewiesen wurde.

• Startzeit – Die Uhrzeit, zu der der Prozess gestartet wurde. Dieses Feld hat das UTC-Datums-Zeichenfolgenformat (2023-03-22T19:37:20.168Z).

• UUID — Die eindeutige ID, die dem Prozess von zugewiesen wurde. GuardDuty

• Parent UUID – Die eindeutige ID des übergeordneten Prozesses. Diese ID wird dem übergeordneten Prozess von zugewiesen. GuardDuty

• Benutzername – Der Benutzername, der den Prozess ausgeführt hat.

• Benutzer-ID – Die Benutzer-ID des Benutzers, der den Prozess ausgeführt hat.

• Effektive Benutzer-ID – Die effektive Benutzer-ID des Prozesses zum Zeitpunkt des Ereignisses.

• Herkunft – Informationen über die Vorfahren des Prozesses.

  • Prozess-ID – Die ID, die dem Prozess vom Betriebssystem zugewiesen wurde.

  • UUID — Die eindeutige ID, die dem Prozess von zugewiesen wurde. GuardDuty

  • Ausführbarer Pfad – Absoluter Pfad der ausführbaren Zieldatei des Prozesses.

  • Effektive Benutzer-ID – Die effektive Benutzer-ID des Prozesses zum Zeitpunkt des Ereignisses.

  • Parent UUID – Die eindeutige ID des übergeordneten Prozesses. Diese ID wird dem übergeordneten Prozess von zugewiesen. GuardDuty

  • Startzeit – Die Uhrzeit, zu der der Prozess gestartet wurde.

  • Namespace-PID – Die Prozess-ID des Prozesses in einem sekundären PID-Namespace, bei dem es sich nicht um den PID-Namespace auf Host-Ebene handelt. Bei Prozessen innerhalb eines Containers ist dies die Prozess-ID, die innerhalb des Containers beobachtet wird.

  • Benutzer-ID – Die Benutzer-ID des Benutzers, der den Prozess ausgeführt hat.

  • Name – Der Name des Prozesses.

Laufzeitkontext

Aus den folgenden Feldern kann eine generierte Erkenntnis nur die Felder enthalten, die für den Erkenntnistyp relevant sind.

• Mount-Quelle – Der Pfad auf dem Host, der vom Container bereitgestellt wird.

• Mount-Ziel – Der Pfad im Container, der dem Host-Verzeichnis zugeordnet ist.

• Dateisystem-Typ – Stellt den Typ des eingehängten Dateisystems dar.

• Flags – Stellt Optionen dar, die das Verhalten des Ereignisses steuern, das an dieser Erkenntnis beteiligt ist.

• Verändernder Prozess – Informationen über den Prozess, der zur Laufzeit eine Binärdatei, ein Skript oder eine Bibliothek in einem Container erstellt oder geändert hat.

• Geändert am – Der Zeitstempel, zu dem der Prozess zur Laufzeit eine Binärdatei, ein Skript oder eine Bibliothek in einem Container erstellt oder geändert hat. Dieses Feld hat das UTC-Datums-Zeichenfolgenformat (2023-03-22T19:37:20.168Z).

• Bibliothekspfad – Der Pfad zur neuen Bibliothek, die geladen wurde.

• LD-Vorladungs-Wert – Der Wert der LD_PRELOAD-Umgebungsvariable.

• Socket-Pfad – Der Pfad zum Docker-Socket, auf den zugegriffen wurde.

• Runc-Binär-Pfad – Der Pfad zur runc-Binärdatei.

• Release-Agent-Pfad – Der Pfad zur cgroup-Release-Agent-Datei.

• Beispiel für eine Befehlszeile — Das Beispiel für die Befehlszeile, die an der potenziell verdächtigen Aktivität beteiligt ist.

• Werkzeugkategorie — Kategorie, zu der das Tool gehört. Einige der Beispiele sind Backdoor Tool, Pentest Tool, Network Scanner und Network Sniffer.

• Toolname — Der Name des potenziell verdächtigen Tools.

• Dateivorgang — Die Art der Dateioperation, die die Suche ausgelöst hat, z. B. Schreiben, Löschen, Umbenennen, Verknüpfen oder Symlink.

• Dateipfad — Der Pfad der vertraulichen Datei, die geändert wurde. Die Änderung umfasst Schreib-, Lösch-, Umbenennungs-, Link- oder Symlink-Operationen.

• Verwandte Dateipfade — Alle Dateipfade, die durch denselben Prozess geändert wurden, der die Suche ausgelöst hat, bis zu einem Maximum von 25 Pfaden.

• Skriptpfad — Der Pfad zu dem ausgeführten Skript, das das Ergebnis generiert hat.

• Pfad der Bedrohungsdatei — Der verdächtige Pfad, für den die Bedrohungsinformationen gefunden wurden.

• Dienstname — Der Name des Sicherheitsdienstes, der deaktiviert wurde.

• Modulname — Der Name des Moduls, das in den Kernel geladen wird.

• Modul SHA256 — Der SHA256-Hash des Moduls.

• Moduldateipfad — Der Pfad zu dem Modul, das in den Kernel geladen wurde.

• Scan-ID – Die Kennung des Malware-Scans.

• Scan gestartet am – Das Datum und die Uhrzeit, zu der der Malware-Scan gestartet wurde.

• Scan abgeschlossen am – Das Datum und die Uhrzeit, zu der der Malware-Scan abgeschlossen wurde.

• Such-ID des Auslösers — Die Such-ID des GuardDuty Befundes, der diesen Malware-Scan initiiert hat.

• Quellen — Die möglichen Werte sind Bitdefender undAmazon.

  Weitere Informationen über die Scan Engine, die zur Erkennung von Schadsoftware verwendet wird, finden Sie unterGuardDuty Scan-Engine zur Malware-Erkennung.

• Scan-Erkennungen – Die vollständige Ansicht der Details und Ergebnisse jedes Malware-Scans.

  • Anzahl gescannter Objekte – Die Gesamtzahl der gescannten Dateien. Liefert Details wie totalGb, files und volumes.

  • Anzahl der entdeckten Bedrohungen – Die Gesamtzahl der während des Scans erkannten schädlichen files.

  • Bedrohungsdetails mit dem höchsten Schweregrad – Die Details der Bedrohung mit dem höchsten Schweregrad, die während des Scans erkannt wurde, und die Anzahl der schädlichen Dateien. Liefert Details wie severity, threatName und count.

  • Nach Namen erkannte Bedrohungen – Das Container-Element, in dem Bedrohungen aller Schweregrade gruppiert werden. Liefert Details wie itemCount, uniqueThreatNameCount, shortened und threatNames.

• Name – Der Name der Bedrohung, der durch Gruppierung der Dateien nach Entdeckung ermittelt wurde.

• Schweregrad – Der Schweregrad der erkannten Bedrohung.

• Hash — Der Wert SHA-256 der Datei.

• Dateipfad – Der Speicherort der schädlichen Datei auf dem EBS-Volume.

• Dateiname – Der Name der Datei, in der die Bedrohung erkannt wurde.

• Volume-ARN – Der ARN der gescannten EBS-Volumes.

• Scan-ID – Die Kennung des Malware-Scans.

• Scan gestartet am – Das Datum und die Uhrzeit, zu der der Malware-Scan gestartet wurde.

• Scan abgeschlossen am – Das Datum und die Uhrzeit, zu der der Scan abgeschlossen wurde.

• Gescannte Dateien – Die Gesamtzahl der gescannten Dateien und Verzeichnisse.

• Gescannte GB insgesamt – Die Menge an Speicherplatz, die während des Vorgangs gescannt wurde.

• Such-ID des Auslösers — Die Ergebnis-ID des GuardDuty Befundes, der diesen Malware-Scan initiiert hat.

• Die folgenden Informationen sind im Abschnitt Volume-Details im Detailbereich verfügbar.

  • Volume-ARN – Der Amazon-Ressourcenname (ARN) des Volumes.

  • Snapshot-ARN – Der ARN des Snapshots des EBS-Volumes.

  • Status – Der Scan-Status des Volumes, z. B. Running, Skipped und Completed.

  • Verschlüsselungstyp – Der Verschlüsselungstyp, der zur Verschlüsselung des Volumes verwendet wird. Beispiel, CMCMK.

  • Gerätename – Der Name des Geräts. Beispiel, /dev/xvda.

• Bedrohungen — Eine Liste der Bedrohungen, die während des Malware-Scans erkannt wurden.

  Mehrere potenzielle Bedrohungen in Archivdateien

  Wenn Sie eine Archivdatei mit potenziell mehreren Bedrohungen haben, meldet Malware Protection for S3 nur die erste erkannte Bedrohung. Danach wird der Scanstatus als abgeschlossen markiert. GuardDuty generiert den zugehörigen Ergebnistyp und sendet auch die von ihm generierten EventBridge Ereignisse. Weitere Informationen zur Überwachung der Amazon S3-Objektscans mithilfe der EventBridge Ereignisse finden Sie im Beispiel-Benachrichtigungsschema für THREATS_FOUND unter. Ergebnis des S3-Objektscans

• Elementpfad — Eine Liste mit verschachtelten Elementpfaden und Hash-Details des gescannten S3-Objekts.

  • Verschachtelter Elementpfad — Elementpfad des gescannten S3-Objekts, in dem die Bedrohung erkannt wurde.

    Der Wert dieses Felds ist nur verfügbar, wenn das Objekt der obersten Ebene ein Archiv ist und wenn in einem Archiv eine Bedrohung erkannt wird.

  • Hash — Hash der Bedrohung, die in diesem Ergebnis erkannt wurde.

    Anmerkung

    In Fällen, in denen der Hash nicht berechnet werden kann, wird das Scan-Ergebnis trotzdem geliefert und der Hashwert wird standardmäßig auf eine leere Zeichenfolge (e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855) gesetzt. SHA-256

• Quellen — Die möglichen Werte sind Bitdefender undAmazon.

  Weitere Informationen über die Scan Engine, die zur Erkennung von Schadsoftware verwendet wird, finden Sie unterGuardDuty Scan-Engine zur Malware-Erkennung.

• NETWORK_CONNECTION – Gibt an, dass Netzwerkdatenverkehr zwischen der identifizierten EC2-Instance und dem Remote-Host ausgetauscht wurde. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Verbindungsrichtung — Die Netzwerkverbindungsrichtung, die in der Aktivität beobachtet wurde, die zur Generierung des Ergebnisses aufgefordert wurde. GuardDuty Bei ihnen kann es sich um einen der folgenden Werte handeln:

    • INBOUND – Gibt an, dass ein Remote-Host eine Verbindung mit einem lokalen Port auf der in Ihrem Konto identifizierten EC2-Instance initiiert hat.

    • OUTBOUND – Gibt an, dass die identifizierte EC2-Instance eine Verbindung mit einem Remote-Host initiiert hat.

    • UNKNOWN — Zeigt an, dass die Richtung der Verbindung nicht bestimmt werden GuardDuty konnte.

  • Protokoll — Das Netzwerkverbindungsprotokoll, das bei der Aktivität beobachtet wurde, die GuardDuty zur Generierung des Ergebnisses geführt hat.

  • Lokale IP – Die ursprüngliche Quell-IP-Adresse des Datenverkehrs, der die Erkenntnis ausgelöst hat. Diese Informationen können verwendet werden, um zwischen der IP-Adresse einer Zwischenebene, durch die Datenverkehr fließt, und der ursprünglichen Quell-IP-Adresse des Datenverkehrs , der die Suche ausgelöst hat, zu unterscheiden. Zum Beispiel die IP-Adresse eines EKS-Pods im Gegensatz zur IP-Adresse der Instance, auf der der EKS-Pod ausgeführt wird.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• PORT_PROBE – Gibt an, dass ein Remote-Host die identifizierte EC2-Instance auf mehreren offenen Ports untersucht hat. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Lokale IP – Die ursprüngliche Quell-IP-Adresse des Datenverkehrs, der die Erkenntnis ausgelöst hat. Diese Informationen können verwendet werden, um zwischen der IP-Adresse einer Zwischenebene, durch die Datenverkehr fließt, und der ursprünglichen Quell-IP-Adresse des Datenverkehrs , der die Suche ausgelöst hat, zu unterscheiden. Zum Beispiel die IP-Adresse eines EKS-Pods im Gegensatz zur IP-Adresse der Instance, auf der der EKS-Pod ausgeführt wird.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• DNS_REQUEST – Gibt an, dass die identifizierte EC2-Instance einen Domainnamen abgefragt hat. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • Protokoll — Das Netzwerkverbindungsprotokoll, das bei der Aktivität beobachtet wurde, die GuardDuty zur Generierung des Ergebnisses geführt hat.

  • Blockiert – Gibt an, ob der Ziel-Port blockiert ist.

• AWS_API_CALL— Zeigt an, dass eine AWS API aufgerufen wurde. Dieser Aktionstyp enthält die folgenden zusätzlichen Informationen:

  • API — Der Name der API-Operation, die aufgerufen und somit aufgefordert wurde, dieses Ergebnis GuardDuty zu generieren.

    Anmerkung

    Diese Vorgänge können auch Nicht-API-Ereignisse einschließen, die von AWS CloudTrail erfasst wurden. Weitere Informationen finden Sie unter Non-API Ereignisse, die von CloudTrail erfasst wurden.

  • Benutzeragent – Der Benutzeragent, der die API-Anfrage gestellt hat. Dieser Wert gibt an, ob der Anruf von dem AWS-Managementkonsole, einem AWS Dienst, den AWS SDKs oder dem AWS CLI getätigt wurde.

  • ERROR_CODE – Wenn die Erkenntnis durch einen fehlgeschlagenen API-Aufruf ausgelöst wurde, wird der Fehlercode für diesen Aufruf angezeigt.

  • Service-Name – Der DNS-Name des Services, der versucht hat, den API-Aufruf durchzuführen, durch den die Erkenntnis ausgelöst wurde.

• RDS_LOGIN_ATTEMPT – Zeigt an, dass von einer Remote-IP-Adresse aus ein Anmeldeversuch bei der potenziell kompromittierte Datenbank unternommen wurde.

  • IP-Adresse – Die Remote-IP-Adresse, die für den potenziell verdächtigen Anmeldeversuch verwendet wurde.

• Verbunden — Details darüber, ob das AWS Konto des Remote-API-Aufrufers mit Ihrer GuardDuty Umgebung zusammenhängt. Wenn dieser Wert true ist, ist der API-Aufrufer in irgendeiner Weise Ihrem Konto zugeordnet. Falls der Wert false ist, stammt der API-Aufrufer von außerhalb Ihrer Umgebung.

• Remote-Konto-ID — Die Konto-ID, der die ausgehende IP-Adresse gehört, die für den Zugriff auf die Ressource im endgültigen Netzwerk verwendet wurde.

• IP-Adresse — Die IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Standort — Standortinformationen für die IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Organisation — Informationen zur ISP-Organisation der IP-Adresse, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Port — Die Portnummer, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses veranlasst hat.

• Domain — Die Domain, die an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Domain mit Suffix — Die Domain der zweiten und obersten Ebene, die an einer Aktivität beteiligt ist, die möglicherweise GuardDuty zur Generierung des Ergebnisses geführt hat. Eine Liste der Domänen der obersten und zweiten Ebene finden Sie in der Liste der öffentlichen Suffixe.

• Name der Bedrohungsliste — Der Name der Bedrohungsliste, die die IP-Adresse oder den Domainnamen enthält, der an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses geführt hat.

• Beispiel – Der Wert Wahr oder Falsch, gibt an, ob es sich um ein Beispiel-Erkenntnis handelt.

• Archiviert – Der Wert Wahr oder Falsch, gibt an, ob diese Erkenntnis archiviert wurde.

• Ungewöhnlich – Aktivitätsdetails, die zuvor noch nicht beobachtet wurden. Dabei kann es sich um ungewöhnliche (zuvor nicht beobachtete) Benutzer, Standorte, Zeitpunkte, Buckets, Anmeldeverhalten oder ASN Org handeln.

• Ungewöhnliches Protokoll — Das Netzwerkverbindungsprotokoll, das an der Aktivität beteiligt war, die GuardDuty zur Generierung des Ergebnisses veranlasst hat.

• Agentendetails – Details über den Sicherheitsagent, der derzeit auf dem EKS-Cluster in Ihrem AWS-Konto installiert ist. Dies gilt nur für Erkenntnistypen von der EKS-Laufzeit-Überwachung.

  • Agent-Version — Die Version des GuardDuty Security Agents.

  • Agenten-ID — Die eindeutige Kennung des GuardDuty Security Agents.

• Details zur Bedrohungsanalyse — Der Name der Bedrohungsliste, auf der die erkannte Bedrohung Threat name erscheint.

• Name der Bedrohung — Der Name der Malware-Familie oder eine andere Kennung, die der Bedrohung zugeordnet ist.

• Bedrohungsdatei SHA256 — SHA256 der Datei, die den Befund generiert hat.

• Anomale APIs – Eine Liste von API-Anfragen, die von der Benutzeridentität in der Nähe der mit der Erkenntnis verknüpften primären API-Anfrage aufgerufen wurden. In diesem Bereich werden die Details des API-Erkenntnisses wie folgt weiter aufgeschlüsselt.

  • Bei der ersten aufgeführten API handelt es sich um die primäre API, d. h. um die API-Anfrage, die mit der beobachteten Aktivität mit dem höchsten Risiko verknüpft ist. Dies ist die API, welche die Erkenntnis ausgelöst hat und mit der Angriffsphase des Erkenntnistyps korreliert. Dies ist auch die API, die im Abschnitt Aktion in der Konsole und in der JSON-Datei des Erkenntnisses detailliert beschrieben wird.

  • Bei allen anderen aufgeführten APIs handelt es sich um zusätzliche anomale APIs, die anhand der aufgelisteten Benutzeridentität in der Nähe der primären API beobachtet wurden. Wenn nur eine API auf der Liste steht, hat das ML-Modell keine zusätzlichen API-Anfragen von dieser Benutzeridentität als anomal identifiziert.

  • Die Liste der APIs ist danach unterteilt, ob eine API erfolgreich aufgerufen wurde oder ob die API erfolglos aufgerufen wurde, was bedeutet, dass eine Fehlerantwort empfangen wurde. Die Art der empfangenen Fehlerantwort ist über jeder API aufgeführt, die erfolglos aufgerufen wurde. Mögliche Fehlerantworttypen sind: access denied, access denied exception, auth failure, instance limit exceeded, invalid permission - duplicate, invalid permission - not found und operation not permitted.

  • APIs werden nach dem zugehörigen Service kategorisiert.

  • Wenn Sie mehr Kontext benötigen, wählen Sie Historische APIs aus, um die Details zu den wichtigsten APIs (maximal 20) anzuzeigen, die normalerweise sowohl für die Benutzeridentität als auch für alle Benutzer innerhalb des Kontos angezeigt werden. Die APIs sind als Selten (weniger als einmal pro Monat), Gelegentlich (einige Male im Monat) oder Häufig (täglich bis wöchentlich) gekennzeichnet, je nachdem, wie oft sie in Ihrem Konto verwendet werden.

• Ungewöhnliches Verhalten (Konto) – In diesem Abschnitt finden Sie zusätzliche Informationen zum profilierten Verhalten Ihres Kontos.

  Profiliertes Verhalten

  GuardDuty lernt anhand der übermittelten Ereignisse kontinuierlich die Aktivitäten in Ihrem Konto kennen. Diese Aktivitäten und ihre beobachtete Häufigkeit werden als profiliertes Verhalten bezeichnet.

  Zu den in diesem Bereich erfassten Informationen gehören:

  • ASN Org — Die Autonomous System Number (ASN) -Organisation, von der aus der anomale API-Aufruf getätigt wurde.

  • Benutzername – Der Name des Benutzers, der den anomalen API-Aufruf ausgeführt hat.

  • Benutzeragent – Der Benutzeragent, der für den anomalen API-Aufruf verwendet wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Benutzertyp – Der Typ des Benutzers, der den anomalen API-Aufruf ausgeführt hat. Mögliche Werte sind AWS_SERVICE, ASSUMED_ROLE, IAM_USER oder ROLE.

  • Bucket – Der Name des S3-Buckets, auf den zugegriffen wurde.

• Ungewöhnliches Verhalten (Benutzeridentität) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten der Benutzeridentität, die an der Erkenntnis beteiligt war. Wenn ein Verhalten nicht als historisch eingestuft wird, bedeutet dies, dass das GuardDuty ML-Modell noch nicht erkannt hat, dass diese Benutzeridentität diesen API-Aufruf innerhalb des Trainingszeitraums auf diese Weise getätigt hat. Die folgenden zusätzlichen Details zur Benutzeridentität sind verfügbar:

  • ASN Org – Die ASN-Organisation, von der aus der anomale API-Aufruf getätigt wurde.

  • Benutzeragent – Der Benutzeragent, der für den anomalen API-Aufruf verwendet wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Bucket – Der Name des S3-Buckets, auf den zugegriffen wurde.

• Ungewöhnliches Verhalten (Bucket) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten des S3-Buckets, der mit der Erkenntnis verknüpft ist. Wenn ein Verhalten nicht als historisch eingestuft wird, bedeutet dies, dass das GuardDuty ML-Modell während des Trainingszeitraums noch nie zuvor API-Aufrufe an diesen Bucket auf diese Weise getätigt hat. Zu den in diesem Bereich erfassten Informationen gehören:

  • ASN Org – Die ASN-Organisation, von der aus der anomale API-Aufruf getätigt wurde.

  • Benutzername – Der Name des Benutzers, der den anomalen API-Aufruf ausgeführt hat.

  • Benutzeragent – Der Benutzeragent, der für den anomalen API-Aufruf verwendet wurde. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. aws-cli oder Botocore.

  • Benutzertyp – Der Typ des Benutzers, der den anomalen API-Aufruf ausgeführt hat. Mögliche Werte sind AWS_SERVICE, ASSUMED_ROLE, IAM_USER oder ROLE.

  Anmerkung

  Weitere Informationen zu historischen Verhaltensweisen finden Sie unter Historisches Verhalten in den Abschnitten Ungewöhnliches Verhalten (Konto), Benutzer-ID oder Bucket, wo Sie Details zum erwarteten Verhalten in Ihrem Konto für jede der folgenden Kategorien anzeigen können: Selten (weniger als einmal pro Monat), Gelegentlich (einige Male pro Monat) oder Häufig (täglich bis wöchentlich), je nachdem, wie oft sie in Ihrem Konto verwendet werden.

• Ungewöhnliches Verhalten (Datenbank) – Dieser Abschnitt enthält zusätzliche Informationen zum profilierten Verhalten der Datenbank-Instance, das mit der Erkenntnis verknüpft ist. Wenn ein Verhalten nicht als historisch identifiziert wird, bedeutet dies, dass das GuardDuty ML-Modell innerhalb des Trainingszeitraums noch keinen Anmeldeversuch auf diese Weise an dieser Datenbankinstanz erlebt hat. Zu den Informationen, die für diesen Abschnitt im Erkenntnisbereich verfolgt werden, gehören:

  • Benutzer – Der Benutzername, der für den anomalen Anmeldeversuch verwendet wurde.

  • ASN Org – Die ASN-Organisation, von der aus der anomale API-Aufruf getätigt wurde.

  • Anwendung – Der Anwendungsname, der für den anomalen Anmeldeversuch verwendet wurde.

  • Datenbank – Der Name der Datenbank-Instance, die an dem anomalen Anmeldeversuch beteiligt war.

  Der Abschnitt Historisches Verhalten bietet mehr Kontext zu den zuvor beobachteten Benutzernamen, ASN-Organisationen, Anwendungsnamen und Datenbanknamen für die zugehörige Datenbank. Jedem Einzelwert ist eine Anzahl zugeordnet, die angibt, wie oft dieser Wert bei einer erfolgreichen Anmeldung beobachtet wurde.

• Ungewöhnliches Verhalten (Konto-Kubernetes-Cluster, Kubernetes-Namespace und Kubernetes-Benutzername) – In diesem Abschnitt finden Sie zusätzliche Informationen zum profilierten Verhalten des Kubernetes-Clusters und des mit der Erkenntnis verbundenen Namespaces. Wenn ein Verhalten nicht als historisch identifiziert wird, bedeutet dies, dass das GuardDuty ML-Modell dieses Konto, diesen Cluster, diesen Namespace oder diesen Benutzernamen noch nicht auf diese Weise beobachtet hat. Zu den Informationen, die für diesen Abschnitt im Erkenntnisbereich verfolgt werden, gehören:

  • Benutzername – Der Benutzer, der die der Erkenntnis zugeordnete Kubernetes-API aufgerufen hat.

  • Impersonierter Nutzername – Der Benutzer, für den sich username ausgibt.

  • Namespace – Der Kubernetes-Namespace innerhalb des Amazon-EKS-Clusters, in dem die Aktion stattgefunden hat.

  • Benutzeragent – Der Benutzeragent, der dem Kubernetes-API-Aufruf zugeordnet ist. Der Benutzeragent ist die Methode, mit der der Aufruf ausgeführt wird, z. B. kubectl.

  • API – Die Kubernetes-API, die von username innerhalb des Amazon-EKS-Clusters aufgerufen wird.

  • ASN-Informationen – Die ASN-Informationen, wie Organisation und ISP, die der IP-Adresse des Benutzers zugeordnet sind, der diesen Aufruf tätigt.

  • Wochentag – Der Wochentag, an dem der Kubernetes-API-Aufruf getätigt wurde.

  • Permission — Das Kubernetes-Verb und die Ressource, für die der Zugriff überprüft wird, geben an, ob sie die Kubernetes-API verwenden username können oder nicht.

  • Dienstkontoname — Das dem Kubernetes-Workload zugeordnete Dienstkonto, das dem Workload eine Identität verleiht.

  • Registry — Die Container-Registry, die dem Container-Image zugeordnet ist, das im Kubernetes-Workload bereitgestellt wird.

  • Image — Das Container-Image ohne die zugehörigen Tags und Digest, das im Kubernetes-Workload bereitgestellt wird.

  • Image-Präfix-Konfiguration — Das Image-Präfix mit aktivierter Container- und Workload-Sicherheitskonfiguration, z. B. hostNetwork oder, für den Containerprivileged, der das Image verwendet.

  • Betreffname — Die Subjekte, z. B. ein usergroup, oder, serviceAccountName die an eine Referenzrolle in einem RoleBinding oder gebunden sindClusterRoleBinding.

  • Rollenname — Der Name der Rolle, die an der Erstellung oder Änderung von Rollen oder der roleBinding API beteiligt ist.

• GetObject

• CopyObject.Read

• SelectObjectContent

• Anzahl der s3-api-name-API-Aufrufe, die von dem IAM-Benutzer oder der IAM-Rolle (je nachdem, welche ausgestellt wurde), der/die dem betroffenen S3-Bucket zugeordnet ist, in den letzten 24 Stunden durchgeführt wurden.

• Anzahl der s3-api-name-API-Aufrufe, die vom IAM-Benutzer oder von der IAM-Rolle (je nachdem, welche ausgestellt wurde) der/die allen S3-Buckets zugeordnet ist, in den letzen 24 Stunden durchgeführt wurden.

• Anzahl der s3-api-name-API-Aufrufe über alle IAM-Benutzer oder IAM-Rollen (je nachdem, welche ausgestellt wurden), die dem betroffenen S3-Bucket zugeordnet sind, in den letzten 24 Stunden durchgeführt wurden.

• erfolgreich LoginCount — Dieser Zähler stellt die Summe der erfolgreichen Verbindungen (korrekte Kombination von Anmeldeattributen) dar, die von dem ungewöhnlichen Akteur zur Datenbankinstanz hergestellt wurden. Zu den Anmeldeattributen gehören Benutzername, Passwort und Datenbankname.

• failed LoginCount — Dieser Zähler stellt die Summe der fehlgeschlagenen (erfolglosen) Anmeldeversuche dar, die unternommen wurden, um eine Verbindung zur Datenbankinstanz herzustellen. Dies weist darauf hin, dass ein oder mehrere Attribute der Anmeldekombination, wie Benutzername, Passwort oder Datenbankname, falsch waren.

• unvollständig ConnectionCount — Dieser Zähler gibt die Anzahl der Verbindungsversuche an, die nicht als erfolgreich oder fehlgeschlagen eingestuft werden können. Diese Verbindungen werden geschlossen, bevor die Datenbank eine Antwort liefert. Beispielsweise Port-Scanning, bei dem der Datenbank-Port zwar verbunden ist, aber keine Information an die Datenbank gesendet wird, oder die Verbindung vor Abschluss der Anmeldung entweder erfolgreich oder fehlgeschlagen abgebrochen wurde.