Visão geral da estrutura de dados do gráfico de comportamento

Uma entidade representa um item extraído dos dados de origem do Detective.

Cada entidade tem um tipo, que identifica o tipo de objeto que ela representa. Exemplos de tipos de entidades incluem endereços IP, EC2 instâncias da Amazon e AWS usuários.

Para cada entidade, os dados de origem também são usados para preencher as propriedades da entidade. Os valores das propriedades podem ser extraídos diretamente dos registros de origem ou agregados em vários registros.

Algumas propriedades consistem em um único valor escalar ou agregado. Por exemplo, para uma EC2 instância, o Detective rastreia o tipo de instância e o número total de bytes processados.

As propriedades das séries temporais rastreiam a atividade ao longo do tempo. Por exemplo, por EC2 exemplo, o Detective rastreia ao longo do tempo as portas exclusivas que ele usou.

Um relacionamento representa a atividade que ocorre entre entidades individuais. Os relacionamentos também são extraídos dos dados de origem do Detective.

Semelhante a uma entidade, um relacionamento tem um tipo, que identifica os tipos de entidades envolvidas e a direção da conexão. Um exemplo de tipo de relacionamento são os endereços IP que se conectam às EC2 instâncias.

Para cada relacionamento individual, como um endereço IP específico conectado a uma instância específica, o Detective rastreia as ocorrências ao longo do tempo.

AWS contas que estão presentes nos dados de origem do Detective.

Para cada conta, o Detective responde a várias perguntas:

AWS funções que estão presentes nos dados de origem do Detective.

Para cada função, o Detective responde a várias perguntas:

AWS usuários que estão presentes nos dados de origem do Detective.

Para cada usuário, o Detective responde a várias perguntas:

Instâncias de um usuário federado. Os exemplos de usuários federados incluem o seguinte:

Para cada usuário federado, o Detective responde a várias perguntas:

EC2 instâncias que estão presentes nos dados de origem do Detective.

Por exemplo EC2 , Detective responde a várias perguntas:

Instâncias de um recurso que está assumindo uma função. Cada sessão de função é identificada pelo identificador da função e pelo nome da sessão.

Para cada função, o Detective responde a várias perguntas:

Descobertas descobertas pela Amazon GuardDuty que são inseridas nos dados de origem do Detective.

Para cada descoberta, o Detective rastreia o tipo de descoberta, a origem e a janela de tempo da atividade da descoberta.

Também armazena informações específicas da descoberta, como funções ou endereços IP envolvidos na atividade detectada.

Endereços IP presentes nos dados de origem do Detective.

Para cada endereço IP, o Detective responde a várias perguntas:

Buckets do S3 que estão nos dados de origem do Detective.

Para cada bucket do S3, o Detective responde a várias perguntas:

Você pode excluir um bucket do S3 e, em seguida, criar um novo bucket com o mesmo nome. Como o Detective usa o nome do bucket do S3 para identificá-lo, ele os trata como uma única entidade do bucket do S3. No perfil da entidade, o Horário de criação é o primeiro horário de criação. O Horário de exclusão é o horário de exclusão mais recente.

Para visualizar todos os eventos de criação e exclusão, defina o escopo de tempo para começar com o horário de criação e terminar com o horário de exclusão. No painel de perfil Volume geral de chamadas de API, exiba os detalhes da atividade para o escopo de tempo. Filtre os métodos da API para mostrarem os métodos Create e Delete. Consulte Detalhes da atividade para o volume geral de chamadas de API.

Agentes de usuário presentes nos dados de origem do Detective.

Para cada agente de usuário, o Detective responde a perguntas como as seguintes:

Clusters do EKS presentes nos dados de origem do Detective.

Para cada cluster do EKS, o Detective responde a perguntas como as seguintes:

Pods do Kubernetes presentes nos dados de origem do Detective.

Para cada pod, o Detective responde a perguntas como as seguintes:

Imagens de contêiner presentes nos dados de origem do Detective.

Para cada imagem de contêiner, o Detective responde a perguntas como as seguintes:

Sujeitos do Kubernetes presentes nos dados de origem do Detective. Um sujeito do Kubernetes é um usuário ou conta de serviço.

Para cada sujeito, o Detective responde a perguntas como as seguintes: