Detail temuan

Di GuardDuty konsol Amazon, Anda dapat melihat detail pencarian di bagian ringkasan pencarian. Rincian menemukan bervariasi berdasarkan jenis temuan.

Ada dua detail utama yang menentukan jenis informasi apa yang tersedia untuk temuan apa pun. Yang pertama adalah jenis sumber daya, yang dapat berupa InstanceAccessKey,S3Bucket,S3Object,Kubernetes cluster,ECS cluster,Container,RDSDBInstance,RDSLimitlessDB, atauLambda. Detail kedua yang menentukan informasi temuan adalah Peran Sumber Daya. Peran sumber daya dapatTarget, artinya sumber daya adalah target aktivitas yang mencurigakan. Untuk temuan tipe instans, peran sumber daya juga dapat menjadi Actor, yang berarti bahwa sumber daya Anda adalah aktor yang melakukan aktivitas mencurigakan. Topik ini menjelaskan beberapa detail umum yang tersedia untuk temuan. Untuk GuardDuty Jenis temuan Pemantauan Runtime danPerlindungan Malware untuk tipe pencarian S3, peran sumber daya tidak diisi.

Menemukan ikhtisar

Bagian Ikh tis ar temuan berisi fitur pengenal paling dasar dari temuan tersebut, termasuk informasi berikut:

• ID Akun — ID AWS akun tempat aktivitas berlangsung yang meminta GuardDuty untuk menghasilkan temuan ini.

• Hit ung — Jumlah kali GuardDuty telah mengumpulkan aktivitas yang mencocokkan pola ini dengan ID temuan ini.

• Dibuat pada - Waktu dan tanggal ketika temuan ini pertama kali dibuat. Jika nilai ini berbeda dari Diperbarui pada, ini menunjukkan bahwa aktivitas tersebut telah terjadi beberapa kali dan merupakan masalah yang sedang berlangsung.

  catatan

  Stempel waktu untuk temuan di GuardDuty konsol muncul di zona waktu lokal Anda, sementara ekspor JSON dan output CLI menampilkan cap waktu dalam UTC.

• Mencari ID — Pengidentifikasi unik untuk jenis temuan dan kumpulan parameter ini. Kejadian baru dari aktivitas yang cocok dengan pola ini akan digabungkan ke ID yang sama.

• Tipe temuan – String berformat yang mewakili tipe aktivitas yang memicu temuan. Untuk informasi selengkapnya, lihat GuardDuty menemukan format.

• Wilayah — AWS Wilayah di mana temuan itu dihasilkan. Untuk informasi selengkapnya tentang Wilayah yang didukung, lihat Wilayah dan titik akhir

• ID sumber daya — ID sumber AWS daya tempat aktivitas berlangsung yang mendorong GuardDuty untuk menghasilkan temuan ini.

• ID Pemindaian — Berlaku untuk temuan saat GuardDuty Perlindungan Malware untuk EC2 diaktifkan, ini adalah pengidentifikasi pemindaian malware yang berjalan pada volume EBS yang dilampirkan ke instans EC2 atau beban kerja kontainer yang berpotensi dikompromikan. Untuk informasi selengkapnya, lihat Perlindungan Malware untuk rincian penemuan EC2.

• Tingkat keparahan — Tingkat keparahan temuan yang ditetapkan baik Kritis, Tinggi, Sedang, atau Rendah. Untuk informasi selengkapnya, lihat Tingkat keparahan temuan.

• Diperbarui pada - Terakhir kali temuan ini diperbarui dengan aktivitas baru yang cocok dengan pola yang mendorong GuardDuty untuk menghasilkan temuan ini.

Sumber daya

Sumber Daya yang terpengaruh memberikan rincian tentang AWS sumber daya yang ditargetkan oleh aktivitas awal. Informasi yang tersedia bervariasi berdasarkan tipe sumber daya dan tipe tindakan.

Peran sumber daya — Peran sumber AWS daya yang memprakarsai temuan. Nilai ini dapat berupa TARGET atau ACTOR, dan menunjukkan apakah sumber daya Anda adalah target aktivitas mencurigakan atau aktor yang melakukan aktivitas mencurigakan.

Jenis sumber daya — Jenis sumber daya yang terpengaruh. Jika beberapa sumber daya terlibat, temuan dapat mencakup beberapa jenis sumber daya. Jenis sumber dayanya adalah Instance,, S3Bucket AccessKey, S3Object,, ECSCluster, Con tainer, RdsD KubernetesCluster bInstance, RDSLimitlessDB, dan Lambda. Tergantung tipe sumber dayanya, detail temuan yang berbeda tersedia. Pilih tab opsi sumber daya untuk mempelajari detail yang tersedia untuk sumber daya tersebut.

Instance

Detail instans:

catatan

Beberapa detail instans mungkin hilang jika instans telah dihentikan atau jika pemanggilan API yang mendasarinya berasal dari instans EC2 di Wilayah yang berbeda saat melakukan panggilan API Lintas wilayah.

• ID Inst ance — ID instans EC2 yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan.

• Jenis Inst ance — Jenis instance EC2 yang terlibat dalam temuan.

• Waktu Peluncuran — Waktu dan tanggal peluncuran instance.

• Outpost ARN — Nama Sumber Daya Amazon (ARN) dari AWS Outposts. Hanya berlaku untuk AWS Outposts contoh. Untuk informasi lebih lanjut, lihat Apa itu AWS Outposts? di Panduan Pengguna untuk rak Pos Terdepan.

• Nama Grup Keamanan – Nama Grup Keamanan yang melekat pada instans yang terlibat.

• ID Grup Keamanan – ID grup keamanan yang melekat pada instans yang terlibat.

• Status instans – Status instans yang ditargetkan saat ini.

• Availability Zone – Availability Zone AWS Region tempat instans yang terlibat berada.

• ID Image – ID dari Amazon Machine Image yang digunakan untuk membangun instans yang terlibat dalam aktivitas.

• Deskripsi Image – Deskripsi ID Amazon Machine Image yang digunakan untuk membangun instans yang terlibat dalam aktivitas.

• Tanda – Daftar tanda yang melekat pada sumber daya ini, tercantum dalam format key:value.

AccessKey

Detail Kunci Akses:

• ID kunci akses — ID kunci akses pengguna yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan.

• ID Utama — ID utama pengguna yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan.

• Jenis pengguna — Jenis pengguna yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan. Untuk informasi selengkapnya, lihat elemen CloudTrail userIdentity.

• Nama pengguna — Nama pengguna yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan.

S3Bucket

Detail bucket Amazon S3:

• Nama – Nama bucket yang terlibat dalam temuan.

• ARN – ARN bucket yang terlibat dalam temuan.

• Pemilik – ID pengguna resmi dari pengguna yang memiliki bucket yang terlibat dalam temuan. Untuk informasi selengkapnya tentang ID pengguna resmi, lihat pengenal akun AWS.

• Tipe – Tipe temuan bucket, dapat berupa Tujuan atau Sumber.

• Enkripsi sisi server default — Detail enkripsi untuk bucket.

• Tag Bucket — Daftar tag yang dilampirkan ke sumber daya ini, terdaftar dalam formatkey:value.

• Izin Efektif – Evaluasi dari semua izin dan kebijakan efektif pada bucket yang menunjukkan apakah bucket yang terlibat diekspos secara publik. Nilai dapat bersifat publik atau tidak publik.

S3Object

• Detail objek S3 - Termasuk informasi berikut tentang objek S3 yang dipindai:

  • ARN — Nama Sumber Daya Amazon (ARN) dari objek S3 yang dipindai.

  • Kunci — Nama yang ditetapkan untuk file saat dibuat di bucket S3.

  • Id Versi — Ketika Anda telah mengaktifkan pembuatan versi bucket, bidang ini menunjukkan Id versi yang terkait dengan versi terbaru dari objek S3 yang dipindai. Untuk informasi selengkapnya, lihat Menggunakan versi di bucket S3 di Panduan Pengguna Amazon S3.

  • ETag — Merupakan versi spesifik dari objek S3 yang dipindai.

  • Hash — Hash ancaman yang terdeteksi dalam temuan ini.

• Detail bucket S3 — Termasuk informasi berikut tentang bucket Amazon S3 yang terkait dengan objek S3 yang dipindai:

  • Nama — Menunjukkan nama bucket S3 yang berisi objek.

  • ARN — Nama Sumber Daya Amazon (ARN) dari bucket S3.

• Pemilik — Id Kanonik pemilik bucket S3.

EKSCluster

Rincian cluster Kubernetes:

• Nama — Nama cluster Kubernetes.

• ARN — ARN yang mengidentifikasi cluster.

• Dibuat Pada - Waktu dan tanggal ketika cluster ini dibuat.

  catatan

  Stempel waktu untuk temuan di GuardDuty konsol muncul di zona waktu lokal Anda, sementara ekspor JSON dan output CLI menampilkan cap waktu dalam UTC.

• ID VPC — ID VPC yang terkait dengan cluster Anda.

• Status — Status cluster saat ini.

• Tag — Metadata yang Anda terapkan ke cluster untuk membantu Anda mengkategorikan dan mengaturnya. Setiap tag terdiri dari kunci dan nilai opsional, tercantum dalam formatkey:value. Anda bisa mendefinisikan kunci dan nilai.

  Tag cluster tidak menyebar ke sumber daya lain yang terkait dengan cluster.

Detail beban kerja Kubernetes:

• Jenis — Jenis beban kerja Kubernetes, seperti pod, penerapan, dan pekerjaan.

• Nama — Nama beban kerja Kubernetes.

• Uid — ID unik beban kerja Kubernetes.

• Dibuat pada - Waktu dan tanggal ketika beban kerja ini dibuat.

• Label — Pasangan kunci-nilai yang melekat pada beban kerja Kubernetes.

• Kontainer — Rincian kontainer yang berjalan sebagai bagian dari beban kerja Kubernetes.

• Namespace — Beban kerja milik namespace Kubernetes ini.

• Volume — Volume yang digunakan oleh beban kerja Kubernetes.

  • Jalur host — Merupakan file atau direktori yang sudah ada sebelumnya pada mesin host yang dipetakan volume.

  • Nama — Nama volume.

• konteks keamanan pod — Mendefinisikan pengaturan hak istimewa dan kontrol akses untuk semua kontainer dalam pod.

• Jaringan host — Setel ke true jika pod disertakan dalam beban kerja Kubernetes.

Detail pengguna Kubernetes:

• Grup — Grup Kubernetes RBAC (kontrol berbasis akses peran) dari pengguna yang terlibat dalam aktivitas yang menghasilkan temuan.

• ID — ID unik pengguna Kubernetes.

• Nama pengguna — Nama pengguna Kubernetes yang terlibat dalam aktivitas yang menghasilkan temuan.

• Nama sesi — Entitas yang mengambil peran IAM dengan izin RBAC Kubernetes.

ECSCluster

Rincian cluster ECS:

• ARN — ARN yang mengidentifikasi cluster.

• Nama — Nama cluster.

• Status — Status cluster saat ini.

• Jumlah layanan aktif — Jumlah layanan yang berjalan di cluster dalam suatu ACTIVE status. Anda dapat melihat layanan ini dengan ListServices

• Jumlah instans kontainer terdaftar — Jumlah instance kontainer yang terdaftar ke dalam cluster. Ini termasuk instance kontainer di keduanya ACTIVE dan DRAINING status.

• Jumlah tugas yang sedang berjalan — Jumlah tugas di cluster yang berada dalam RUNNING status.

• Tag — Metadata yang Anda terapkan ke cluster untuk membantu Anda mengkategorikan dan mengaturnya. Setiap tag terdiri dari kunci dan nilai opsional, tercantum dalam formatkey:value. Anda bisa mendefinisikan kunci dan nilai.

• W adah — Rincian tentang wadah yang terkait dengan tugas:

  • Nama kontainer — Nama wadah.

  • Gambar kontainer — Gambar wadah.

• Detail tugas — Rincian tugas dalam cluster.

  • ARN — Nama Sumber Daya Amazon (ARN) dari tugas.

  • Definisi ARN — Nama Sumber Daya Amazon (ARN) dari definisi tugas yang membuat tugas.

  • Versi — Penghitung versi untuk tugas.

  • Tugas dibuat di — Stempel waktu Unix saat tugas dibuat.

  • Tugas dimulai pada - Stempel waktu Unix saat tugas dimulai.

  • Tugas dimulai oleh — Tag yang ditentukan saat tugas dimulai.

Container

Rincian kontainer:

• Runtime kontainer — Runtime kontainer (seperti docker ataucontainerd) yang digunakan untuk menjalankan wadah.

• ID — ID instance kontainer atau entri ARN lengkap untuk instance kontainer.

• Nama — Nama wadah.

• Gambar — Gambar contoh kontainer.

• Dudukan volume — Daftar dudukan volume kontainer. Sebuah wadah dapat memasang volume di bawah sistem file-nya.

• Konteks keamanan — Konteks keamanan kontainer mendefinisikan pengaturan hak istimewa dan kontrol akses untuk wadah.

• Detail proses — Menjelaskan rincian proses yang terkait dengan temuan.

RDSDBInstance

Rincian RdsDbInstance:

catatan

Sumber daya ini tersedia dalam temuan Perlindungan RDS terkait dengan instance database.

• ID Instance Database — Identifier yang terkait dengan instance database yang terlibat dalam GuardDuty penemuan.

• Mesin — Nama mesin database dari instance database yang terlibat dalam penemuan. Nilai yang mungkin adalah Aurora MySQL-Compatible atau Aurora PostgreSQL-Compatible.

• Versi mesin — Versi mesin database yang terlibat dalam tem GuardDuty uan.

• ID cluster database — Pengidentifikasi cluster database yang berisi ID instance database yang terlibat dalam GuardDuty penemuan.

• Instance database ARN — ARN yang mengidentifikasi instance database yang terlibat dalam tem GuardDuty uan.

RDSLimitlessDB

Rincian RDSLimitlessDB:

Sumber daya ini tersedia dalam temuan Perlindungan RDS terkait dengan versi engine yang didukung dari Limitless Database.

• Pengidentifikasi grup pecahan DB — Nama yang terkait dengan grup pecahan DB tanpa batas.

• ID sumber daya grup pecahan DB — Pengidentifikasi sumber daya dari grup pecahan DB dalam DB Tanpa Batas.

• DB shard group ARN — Nama Sumber Daya Amazon (ARN) yang mengidentifikasi grup pecahan DB.

• Mesin — Pengidentifikasi DB Limitless yang terlibat dalam temuan.

• Versi mesin — Versi mesin Limitless DB.

• DB cluster identifier — Nama cluster database yang merupakan bagian dari Limitless DB.

Untuk informasi tentang detail pengguna dan otentikasi dari database yang berpotensi terkena dampak, lihatRDS database (DB) detail pengguna.

Lambda

Detail fungsi Lambda

• Nama fungsi — Nama fungsi Lambda yang terlibat dalam penemuan.

• Versi fungsi — Versi fungsi Lambda yang terlibat dalam temuan.

• Deskripsi fungsi — Deskripsi fungsi Lambda yang terlibat dalam temuan.

• Fungsi ARN — Nama Sumber Daya Amazon (ARN) dari fungsi Lambda yang terlibat dalam temuan.

• ID Rev isi — ID revisi versi fungsi Lambda.

• Per an — Peran eksekusi fungsi Lambda yang terlibat dalam temuan.

• Konfigurasi VPC — Konfigurasi Amazon VPC, termasuk ID VPC, grup keamanan, dan ID subnet yang terkait dengan fungsi Lambda Anda.

  • ID VPC — ID Amazon VPC yang terkait dengan fungsi Lambda yang terlibat dalam temuan.

  • ID Subnet — ID subnet yang terkait dengan fungsi Lambda Anda.

  • Grup Keamanan — Grup keamanan yang melekat pada fungsi Lambda yang terlibat. Ini termasuk nama grup keamanan dan ID grup.

• Tag — Daftar tag yang dilampirkan ke sumber daya ini, terdaftar dalam formatkey: value pair.

Detail pencarian urutan serangan

GuardDuty memberikan detail untuk setiap temuan yang dihasilkannya di akun Anda. Rincian ini membantu Anda memahami alasan di balik temuan tersebut. Bagian ini berfokus pada detail yang terkait denganJenis pencarian urutan serangan. Ini termasuk wawasan seperti sumber daya yang berpotensi terkena dampak, garis waktu peristiwa, indikator, sinyal, dan titik akhir yang terlibat dalam temuan.

Untuk melihat detail yang terkait dengan sinyal yang merupakan GuardDuty temuan, lihat bagian terkait di halaman ini.

Di GuardDuty konsol, ketika Anda memilih pencarian urutan serangan, panel samping detail dibagi menjadi tab berikut:

• Ringkasan — Menyediakan tampilan ringkas dari detail urutan serangan, termasuk sinyal, taktik MITRE, dan sumber daya yang berpotensi terkena dampak.

• Sinyal — Menampilkan garis waktu peristiwa yang terlibat dalam urutan serangan.

• Sumber Daya — Menyediakan informasi tentang sumber daya yang berpotensi terkena dampak, atau sumber daya yang berpotensi berisiko.

Daftar berikut memberikan deskripsi yang terkait dengan detail pencarian urutan serangan.

Sinyal

Sinyal bisa berupa aktivitas API atau temuan yang GuardDuty digunakan untuk mendeteksi penemuan urutan serangan. GuardDuty menganggap sinyal lemah yang tidak menampilkan diri sebagai ancaman yang jelas, menyatukannya, dan berkorelasi dengan temuan yang dihasilkan secara individual. Untuk konteks lebih lanjut, tab Sin yal menyediakan garis waktu sinyal, seperti yang diamati oleh GuardDuty.

Setiap sinyal, yaitu tem GuardDuty uan, memiliki tingkat keparahan dan nilai yang ditetapkan untuknya sendiri. Di GuardDuty konsol, Anda dapat memilih setiap sinyal untuk melihat detail terkait.

Aktor

Memberikan detail tentang aktor ancaman dalam urutan serangan. Untuk informasi selengkapnya, lihat Aktor di Refer GuardDuty ensi API Amazon.

Titik akhir

Memberikan detail tentang titik akhir jaringan yang digunakan dalam urutan serangan ini. Untuk informasi selengkapnya, lihat NetworkEndpoint di Refer GuardDuty ensi API Amazon. Untuk informasi tentang cara GuardDuty menentukan lokasi, lihatRincian geolokasi.

Indikator

Termasuk data yang diamati yang cocok dengan pola masalah keamanan. Data ini menentukan mengapa GuardDuty ada indikasi aktivitas yang berpotensi mencurigakan. Misalnya, ketika nama indikator adalahHIGH_RISK_API, ini menunjukkan tindakan yang biasa digunakan oleh aktor ancaman, atau tindakan sensitif yang dapat menyebabkan dampak potensial pada suatu Akun AWS, seperti mengakses kredenSIAL atau memodifikasi sumber daya.

Tabel berikut mencakup daftar indikator potensial dan deskripsinya:

Nama indikator	Deskripsi
ATTACK_TACTIC	Taktik MITRE yang digunakan oleh aktor ancaman dalam urutan serangan. Contohnya termasuk Discovery dan Impact.
ATTACK_TECHNIQUE	Teknik MITRE yang digunakan oleh aktor ancaman dalam urutan serangan. Contohnya termasuk mendapatkan akses ke sumber daya dan menggunakannya dengan cara yang tidak diinginkan, dan mengeksploitasi kerentanan.
CRYPTOMINING_DOMAIN	Menunjukkan nama domain yang terkait dengan kolam atau infrastruktur penambangan cryptocurrency. Misalnya, kueri DNS atau koneksi ke domain ini dari wadah atau lingkungan Kubernetes dapat menunjukkan aktivitas cryptomining yang tidak sah.
CRYPTOMINING_IP	Menunjukkan alamat IP yang terkait dengan kolam atau infrastruktur penambangan cryptocurrency. Misalnya, koneksi ke alamat ini dari wadah atau lingkungan Kubernetes dapat mengindikasikan aktivitas cryptomining yang tidak sah.
CRYPTOMINING_PROCESS	Menunjukkan proses yang diidentifikasi sebagai perangkat lunak penambangan cryptocurrency yang berjalan dalam wadah atau lingkungan Kubernetes. Misalnya, proses ini dapat mengkonsumsi sumber daya CPU yang berlebihan.
HIGH_RISK_API	AWS API yang menyertakan Layanan AWS nama dan eventName menunjukkan tindakan yang biasa digunakan oleh pelaku ancaman, atau merupakan tindakan sensitif yang dapat menyebabkan dampak potensial terhadap Akun AWS, seperti akses kredensi atau modifikasi sumber daya.
MALICIOUS_DOMAIN	Menunjukkan nama domain dengan dugaan intelijen ancaman yang menunjukkan niat jahat. Misalnya, ini termasuk server perintah dan kontrol (C&C), situs distribusi malware, atau domain phishing yang dihubungi dari wadah atau lingkungan Kubernetes.
MALICIOUS_FILE	Menunjukkan file yang dicurigai berbahaya berdasarkan intelijen ancaman atau analisis perilaku. Misalnya, ini termasuk binari malware yang diketahui, skrip berbahaya, atau eksekusi yang tidak sah.
MALICIOUS_IP	Alamat IP telah mengkonfirmasi kecerdasan ancaman yang menunjukkan niat jahat.
MALICIOUS_PACKAGE	Menunjukkan bahwa sumber daya yang terlibat dalam urutan serangan berisi paket perangkat lunak yang diidentifikasi sebagai berbahaya. Nilai indikator termasuk pengidentifikasi paket berbahaya menggunakan penunjukan OSV (MAL-*) yang terkait dengan paket yang terdeteksi.
MALICIOUS_PROCESS	Menunjukkan proses yang dicurigai berbahaya berdasarkan kecerdasan ancaman atau analisis perilaku. Misalnya, ini termasuk malware yang diketahui, pintu belakang, atau alat yang tidak sah yang dieksekusi dalam lingkungan instance atau wadah.
MISCONFIGURATION	Menunjukkan bahwa sumber daya yang terlibat dalam urutan serangan memiliki kesalahan konfigurasi keamanan yang dapat meningkatkan dampak potensial. Contohnya termasuk kebijakan akses administratif, pembuatan versi yang dinonaktifkan, atau enkripsi yang hilang. Kesalahan konfigurasi ini diidentifikasi oleh AWS Security Hub CSPM. Untuk informasi selengkapnya, lihat Jenis sifat yang didukung di Panduan AWS Security Hub CSPM Pengguna.
REACHABILITY	Menunjukkan bahwa sumber daya yang terlibat dalam urutan serangan dapat dijangkau dari internet atau dapat diakses publik. Contohnya termasuk instans Amazon EC2 yang dapat diakses melalui internet, cluster Amazon EKS, cluster Amazon ECS, atau bucket Amazon S3 yang dapat diakses publik. Untuk informasi selengkapnya, lihat Jenis sifat yang didukung di Panduan AWS Security Hub CSPM Pengguna.
SENSITIVE_DATA	Menunjukkan bahwa bucket Amazon S3 yang terlibat dalam urutan serangan berisi data sensitif, seperti yang diidentifikasi oleh Amazon Macie melalui AWS Security Hub CSPM.
SUSPICIOUS_NETWORK	Jaringan dikaitkan dengan skor reputasi rendah yang diketahui, seperti penyedia jaringan pribadi virtual (VPN) yang berisiko dan layanan proxy.
SUSPICIOUS_PROCESS	Menunjukkan proses mencurigakan yang diidentifikasi sebagai anomali berdasarkan kecerdasan ancaman atau analisis perilaku. Misalnya, ini termasuk pola eksekusi proses yang tidak biasa, hubungan orangtua-anak yang tidak terduga, atau proses dengan karakteristik mencurigakan dalam instance, atau lingkungan kontainer.
SUSPICIOUS_USER_AGENT	Agen pengguna dikaitkan dengan aplikasi yang mungkin diketahui mencurigakan atau dieksploitasi, seperti klien Amazon S3 dan alat serangan.
TOR_IP	Alamat IP dikaitkan dengan node keluar Tor.
UNUSUAL_API_FOR_ACCOUNT	Menunjukkan bahwa AWS API dipanggil secara anomali, berdasarkan baseline historis akun. Untuk informasi selengkapnya, lihat Perilaku anomali.
UNUSUAL_ASN_FOR_ACCOUNT	Menunjukkan bahwa Nomor Sistem Otonom (ASN) diidentifikasi sebagai anomali, berdasarkan garis dasar historis akun. Untuk informasi selengkapnya, lihat Perilaku anomali.
UNUSUAL_ASN_FOR_USER	Menunjukkan bahwa Nomor Sistem Otonom (ASN) diidentifikasi sebagai anomali, berdasarkan garis dasar historis pengguna. Untuk informasi selengkapnya, lihat Perilaku anomali.
VULNERABILITY	Menunjukkan bahwa sumber daya yang terlibat dalam urutan serangan telah diketahui kerentanan dengan tingkat keparahan kritis, tinggi, sedang, atau rendah. Nilai indikator termasuk pengidentifikasi CVE dan tingkat keparahannya. Kerentanan ini dideteksi oleh Amazon Inspector dan dapat meningkatkan dampak potensial dari urutan serangan. Untuk informasi selengkapnya tentang tingkat keparahan, lihat Memahami tingkat keparahan di Panduan Pengguna Amazon Inspector.

Taktik MITRE

Bidang ini menentukan taktik MITRE ATT&CK yang coba aktor ancaman melalui urutan serangan. GuardDuty menggunakan kerangka kerja MITRE ATT&ACK yang menambahkan konteks ke seluruh urutan serangan. Warna yang digunakan GuardDuty konsol untuk menentukan tujuan ancaman yang telah digunakan oleh aktor ancaman, sejajar dengan warna yang menunjukkan kritis, tinggi, sedang, dan rendahTingkat keparahan temuan.

Indikator jaringan

Indikator mencakup kombinasi nilai indikator jaringan yang menjelaskan mengapa jaringan menunjukkan perilaku mencurigakan. Bagian ini hanya berlaku jika Indikator menyer takan SUSPICIOUS_NETWORK atauMALICIOUS_IP. Contoh berikut menunjukkan bagaimana indikator jaringan dapat dikaitkan dengan indikator, di mana:

• AnyCompanyadalah Sistem Otonom (AS).

• TUNNEL_VPN,IS_ANONYMOUS, dan ALLOWS_FREE_ACCESS merupakan indikator jaringan.

...{
    "key": "SUSPICIOUS_NETWORK",
    "values": [{
        "AnyCompany": [
            "TUNNEL_VPN",
            "IS_ANONYMOUS",
            "ALLOWS_FREE_ACCESS"
        ]
    }]
}
...

Tabel berikut mencakup nilai indikator jaringan dan deskripsinya. Tag ini ditambahkan berdasarkan ancaman yang dikumpulkan intelijen dari GuardDuty sumber-sumber seperti Spur

Nilai indikator jaringan	Deskripsi
TUNNEL_VPN	Alamat jaringan atau IP dikaitkan dengan jenis terowongan VPN. Ini mengacu pada protokol khusus yang membantu membangun koneksi yang aman dan terenkripsi antara dua titik melalui jaringan publik.
TUNNEL_PROXY	Alamat jaringan atau IP dikaitkan dengan jenis terowongan Proxy. Ini mengacu pada protokol tertentu yang membantu membangun koneksi melalui server proxy.
TUNNEL_RDP	Alamat jaringan atau IP dikaitkan dengan menggunakan metode enkapsulasi lalu lintas desktop jarak jauh (RDP) dalam protokol lain untuk meningkatkan keamanan, melewati batasan jaringan, atau mengaktifkan akses jarak jauh melalui firewall.
IS_ANONYMOUS	Jaringan atau alamat IP dikaitkan dengan layanan anonim atau proxy yang dikenal. Ini mungkin menunjukkan potensi aktivitas mencurigakan yang bersembunyi di balik jaringan anonim.
KNOWN_THREAT_OPERATOR	Alamat jaringan atau IP dikaitkan dengan penyedia terowongan berisiko yang diketahui. Ini menunjukkan bahwa aktivitas mencurigakan telah terdeteksi dari alamat IP yang ditautkan ke VPN, proxy, atau layanan tunneling lainnya yang sering digunakan untuk tujuan jahat.
ALLOWS_FREE_ACCESS	Alamat jaringan atau IP dikaitkan dengan operator terowongan yang memungkinkan akses ke layanannya tanpa memerlukan otentikasi atau pembayaran. Ini mungkin juga mencakup akun uji coba atau pengalaman penggunaan terbatas yang ditawarkan oleh berbagai layanan online.
ALLOWS_CRYPTO	Alamat jaringan atau IP dikaitkan dengan penyedia terowongan (seperti VPN atau layanan proxy) yang secara eksklusif menerima cryptocurrency atau mata uang digital lainnya sebagai metode pembayaran.
ALLOWS_TORRENTS	Alamat jaringan atau IP dikaitkan dengan layanan atau platform yang memungkinkan lalu lintas torrent. Layanan semacam itu sering dikaitkan dengan mendukung dan menggunakan torrent, dan kegiatan mengelak hak cipta.
RISK_CALLBACK_PROXY	Alamat jaringan atau IP dikaitkan dengan perangkat yang diketahui merutekan lalu lintas untuk proxy perumahan, proxy malware, atau jaringan tipe proxy callback lainnya. Ini tidak berarti semua aktivitas di jaringan terkait proxy, melainkan bahwa jaringan memiliki kemampuan untuk merutekan lalu lintas atas nama jaringan proxy ini.
RISK_GEO_MISMATCH	Indikator ini menunjukkan bahwa pusat data atau lokasi hosting jaringan berbeda dari lokasi yang diharapkan dari pengguna dan perangkat di belakangnya. Jika nilai indikator ini tidak ada, itu tidak berarti bahwa tidak ada ketidakcocokan. Ini mungkin menyiratkan bahwa tidak ada cukup data untuk mengkonfirmasi perbedaan.
IS_SCANNER	Alamat jaringan atau IP dikaitkan dengan melakukan upaya login terus-menerus terhadap formulir web.
RISK_WEB_SCRAPING	Jaringan alamat IP dikaitkan dengan klien web otomatis dan aktivitas web terprogram lainnya.
CLIENT_BEHAVIOR_FILE_SHARING	Alamat jaringan atau IP dikaitkan dengan perilaku klien yang menunjukkan aktivitas berbagi file, seperti jaringan peer-to-peer (P2P), atau protokol berbagi file.
CATEGORY_COMMERCIAL_VPN	Alamat jaringan atau IP dikaitkan dengan operator terowongan yang dikategorikan sebagai layanan Commercial Virtual Private Network (VPN) tradisional yang beroperasi dalam ruang pusat data.
CATEGORY_FREE_VPN	Alamat jaringan atau IP dikaitkan dengan operator terowongan yang dikategorikan sebagai layanan VPN gratis.
CATEGORY_RESIDENTIAL_PROXY	Alamat jaringan atau IP dikaitkan dengan operator terowongan yang dikategorikan sebagai SDK, malware, atau layanan proxy bersumber get-paid-to.
OPERATOR_XXX	Nama penyedia layanan yang mengoperasikan terowongan ini.

Aturan Deteksi Kustom menemukan detail

Temuan Aturan Deteksi Kustom menggunakan Service.Detection.Sequence struktur yang sama sepertiDetail pencarian urutan serangan. Bidang Aktor, Titik Akhir, Sumber Daya, dan Sinyal berbagi skema yang sama. Bagian ini menjelaskan perbedaan khusus untuk temuan Aturan Deteksi Kustom.

Jenis

Jenis temuan mengikuti formatTactic:Service/Technique. Misalnya, Persistence:EC2/ExternalRemoteServices.

Sinyal

Setiap sinyal mewakili satu peristiwa aturan yang cocok. Bid Name ang berisi nama Aturan Deteksi Kustom, dan SignalIndicators berisi taktik dan teknik MITRE ATT&CK®. Beberapa sinyal dengan aturan yang sama dapat muncul ketika aturan cocok dengan beberapa peristiwa dalam jendela agregasi.

Aktor

Rincian tentang prinsipal IAM yang melakukan aktivitas yang terdeteksi. Termasuk jenis pengguna (seperti AssumedRole atauIAMUser), informasi kredensi, dan detail sesi termasuk peran penerbit ARN dan status MFA.

Sumber daya

Detail tentang AWS sumber daya yang terlibat dalam aktivitas yang terdeteksi, jika berlaku, seperti instans Amazon EC2, bucket Amazon S3, atau kunci akses IAM.

Titik akhir

Rincian tentang titik akhir jaringan tempat aktivitas berasal. Termasuk alamat IP, lokasi geografis (kota dan negara), dan nama dan nomor sistem otonom (AS).

RDS database (DB) detail pengguna

catatan

Bagian ini berlaku untuk temuan saat Anda mengaktifkan fitur Perlindungan RDS di GuardDuty. Untuk informasi selengkapnya, lihat GuardDuty Perlindungan RDS.

Tem GuardDuty uan ini memberikan rincian pengguna dan otentikasi berikut dari database yang berpotensi dikompromikan:

• Pengguna — Nama pengguna yang digunakan untuk melakukan upaya login anomali.

• Aplikasi — Nama aplikasi yang digunakan untuk membuat upaya login anomali.

• Database — Nama instance database yang terlibat dalam upaya login anomali.

• SSL — Versi Secure Socket Layer (SSL) yang digunakan untuk jaringan.

• Metode Auth — Metode otentikasi yang digunakan oleh pengguna yang terlibat dalam penemuan.

Untuk informasi tentang sumber daya yang berpotensi dikompromikan, lihatSumber daya.

Detail temuan Pemantauan Runtime

catatan

Rincian ini mungkin tersedia hanya jika GuardDuty menghasilkan salah satu dariGuardDuty Jenis temuan Pemantauan Runtime.

Bagian ini berisi detail runtime seperti detail proses dan konteks yang diperlukan. Detail proses menjelaskan informasi tentang proses yang diamati, dan konteks runtime menjelaskan informasi tambahan tentang aktivitas yang berpotensi mencurigakan.

Rincian proses

• Nama — Nama proses.

• Jalur yang dapat dieksekusi — Jalur absolut dari file eksekusi proses.

• Executable SHA-256 — H SHA256 ash dari proses yang dapat dieksekusi.

• Namespace PID — ID proses proses dalam namespace PID sekunder selain namespace PID tingkat host. Untuk proses di dalam wadah, itu adalah ID proses yang diamati di dalam wadah.

• Direktori kerja saat ini — Direktori kerja saat ini dari proses.

• ID Proses — ID yang ditetapkan untuk proses oleh sistem operasi.

• StartTime — Waktu ketika proses dimulai. Ini dalam format string tanggal UTC (2023-03-22T19:37:20.168Z).

• UUID — ID unik yang ditetapkan untuk proses oleh GuardDuty.

• UUID indu k — ID unik dari proses induk. ID ini ditetapkan ke proses induk oleh GuardDuty.

• Pengguna — Pengguna yang mengeksekusi proses.

• User ID — ID pengguna yang mengeksekusi proses.

• ID pengguna efektif — ID pengguna yang efektif dari proses pada saat acara berlangsung.

• Garis keturunan — Informasi tentang nenek moyang proses.

  • ID Proses — ID yang ditetapkan untuk proses oleh sistem operasi.

  • UUID — ID unik yang ditetapkan untuk proses oleh GuardDuty.

  • Jalur yang dapat dieksekusi — Jalur absolut dari file eksekusi proses.

  • ID pengguna efektif — ID pengguna yang efektif dari proses pada saat acara berlangsung.

  • UUID indu k — ID unik dari proses induk. ID ini ditetapkan ke proses induk oleh GuardDuty.

  • Waktu Mulai — Waktu ketika proses dimulai.

  • Namespace PID — ID proses proses dalam namespace PID sekunder selain namespace PID tingkat host. Untuk proses di dalam wadah, itu adalah ID proses yang diamati di dalam wadah.

  • User ID — ID pengguna pengguna yang mengeksekusi proses.

  • Nama — Nama proses.

Konteks runtime

Dari bidang berikut, temuan yang dihasilkan mungkin hanya mencakup bidang-bidang yang relevan dengan jenis temuan.

• Mount Source — Jalur pada host yang dipasang oleh wadah.

• Mount Target — Jalur dalam wadah yang dipetakan ke direktori host.

• Jenis Sistem File — Merupakan jenis sistem file yang dipasang.

• Bendera — Merupakan opsi yang mengontrol perilaku peristiwa yang terlibat dalam temuan ini.

• Proses M emodifikasi — Informasi tentang proses yang membuat atau memodifikasi biner, skrip, atau pustaka, di dalam wadah saat runtime.

• Modified At — Stempel waktu di mana proses membuat atau memodifikasi biner, skrip, atau pustaka di dalam wadah saat runtime. Bidang ini dalam format string tanggal UTC (2023-03-22T19:37:20.168Z).

• Library Path — Jalur ke pustaka baru yang dimuat.

• LD Preload Value — Nilai variabel LD_PRELOAD lingkungan.

• Socket Path — Jalur ke soket Docker yang diakses.

• Runc Binary Path — Jalur ke runc biner.

• Release Agent Path — Jalur ke file agen cgroup rilis.

• Contoh Baris Per intah — Contoh baris perintah yang terlibat dalam aktivitas yang berpotensi mencurigakan.

• Kategori Alat — Kategori milik alat tersebut. Beberapa contohnya adalah Backdoor Tool, Pentest Tool, Network Scanner, dan Network Sniffer.

• Nama Alat — Nama alat yang berpotensi menduga.

• Operasi File — Jenis operasi file yang memicu temuan, seperti Tulis, Hapus, Ganti Nama, Tautkan, atau Symlink.

• Jalur File — Jalur file sensitif yang dimodifikasi. Modifikasi termasuk menulis, menghapus, mengganti nama, menautkan, atau operasi symlink.

• Jalur File Terkait — Semua jalur file dimodifikasi oleh proses yang sama yang memicu temuan, hingga maksimum 25 jalur.

• Jalur Skrip — Jalur ke skrip yang dieksekusi yang menghasilkan temuan.

• Jalur File An caman — Jalur mencurigakan tempat rincian intelijen ancaman ditemukan.

• Nama Layanan — Nama layanan keamanan yang telah dinonaktifkan.

• Nama Modul — Nama modul yang dimuat ke dalam kernel.

• Modul SHA256 — Hash SHA256 dari modul.

• Module File Path — Jalur ke modul yang dimuat ke kernel.

Detail pemindaian volume EBS

catatan

Bagian ini berlaku untuk temuan saat Anda mengaktifkan pemindaian GuardDuty-initiated malwarePerlindungan Malware untuk EC2.

Pemindaian volume EBS memberikan rincian tentang volume EBS yang terpasang pada instans EC2 atau beban kerja kontainer yang berpotensi terganggu.

• ID pemindaian — Pengidentifikasi pemindaian malware.

• Pemindaian dimulai pada - Tanggal dan waktu ketika pemindaian malware dimulai.

• Pemindaian selesai pada - Tanggal dan waktu ketika pemindaian malware selesai.

• Trigger Fin ding ID — ID temuan dari tem GuardDuty uan yang memulai pemindaian malware ini.

• Sumber - Nilai potensial adalah Bitdefender danAmazon.

  Untuk informasi selengkapnya tentang mesin pemindaian yang digunakan untuk mendeteksi malware, lihatGuardDuty mesin pemindai deteksi malware.

• Deteksi pemindaian — Tampilan lengkap detail dan hasil untuk setiap pemindaian malware.

  • Jumlah item yang dipindai — Jumlah total file yang dipindai. Ini memberikan detail sepertitotalGb,files, danvolumes.

  • Jumlah item yang terdeteksi ancaman — Jumlah total berbahaya yang files terdeteksi selama pemindaian.

  • Detail ancaman tingkat keparahan tertinggi — Rincian ancaman tingkat keparahan tertinggi yang terdeteksi selama pemindaian dan jumlah file berbahaya. Ini memberikan detail sepertiseverity,threatName, dancount.

  • Ancaman terdeteksi oleh Nama — Elemen kontainer yang mengelompokkan ancaman dari semua tingkat keparahan. Ini memberikan detail sepertiitemCount,uniqueThreatNameCount,shortened, danthreatNames.

Perlindungan Malware untuk rincian penemuan EC2

catatan

Bagian ini berlaku untuk temuan saat Anda mengaktifkan pemindaian GuardDuty-initiated malwarePerlindungan Malware untuk EC2.

Saat Malware Protection for EC2 scan mendeteksi malware, Anda dapat melihat detail pemindaian dengan memilih temuan yang sesuai di halaman Temuan di https://console.aws.amazon.com/guardduty/ konsol. Tingkat keparahan Perlindungan Malware Anda untuk penemuan EC2 tergantung pada tingkat keparahan tem GuardDuty uan.

Informasi berikut tersedia di bawah bagian Ancam an yang terdeteksi di panel rincian.

• Nama — Nama ancaman, diperoleh dengan mengelompokkan file dengan deteksi.

• Tingkat keparahan — Tingkat keparahan ancaman yang terdeteksi.

• Hash - File. SHA-256

• Jalur file — Lokasi file berbahaya dalam volume EBS.

• Nama file — Nama file tempat ancaman terdeteksi.

• Volume ARN — ARN volume EBS yang dipindai.

Informasi berikut tersedia di bawah bagian detail pemindaian Malware di panel detail.

• ID pemindaian — ID pemindaian pemindaian malware.

• Pemindaian dimulai pada - Tanggal dan waktu ketika pemindaian dimulai.

• Pemindaian selesai pada - Tanggal dan waktu ketika pemindaian selesai.

• File yang dipindai — Jumlah total file dan direktori yang dipindai.

• Total GB yang dipindai — Jumlah penyimpanan yang dipindai selama proses.

• ID penemuan pemicu — ID tem GuardDuty uan yang memulai pemindaian malware ini.

• Informasi berikut tersedia di bawah bagian Detail Volume di panel rincian.

  • Volume ARN — Nama Sumber Daya Amazon (ARN) dari volume.

  • SnapshotArn — ARN dari snapshot volume EBS.

  • Status — Status pemindaian volume, sepertiRunning,Skipped, danCompleted.

  • Jenis enkripsi — Jenis enkripsi yang digunakan untuk mengenkripsi volume. Misalnya, CMCMK.

  • Nama perangkat — Nama perangkat. Misalnya, /dev/xvda.

Detail temuan Perlindungan Malware untuk S3

Rincian pemindaian malware berikut tersedia saat Anda mengaktifkan keduanya GuardDuty dan Perlindungan Malware untuk S3 di Akun AWS:

• An caman — Daftar ancaman yang terdeteksi selama pemindaian malware.

  Beberapa ancaman potensial dalam file arsip

  Jika Anda memiliki file arsip dengan potensi beberapa ancaman di dalamnya, Perlindungan Malware untuk S3 hanya melaporkan ancaman pertama yang terdeteksi. Setelah ini, status pemindaian ditandai sebagai selesai. GuardDuty menghasilkan jenis temuan terkait dan juga mengirimkan EventBridge peristiwa yang dihasilkannya. Untuk informasi selengkapnya tentang pemantauan pemindaian objek Amazon S3 menggunakan EventBridge peristiwa, lihat skema pemberitahuan sampel untuk THREATS_FOUND di. Hasil pemindaian objek S3

• Jalur item — Daftar jalur item bersarang dan detail hash dari objek S3 yang dipindai.

  • Jalur item bersar ang — Jalur item objek S3 yang dipindai tempat ancaman terdeteksi.

    Nilai bidang ini hanya tersedia jika objek tingkat atas adalah arsip dan jika ancaman terdeteksi di dalam arsip.

  • Hash — Hash ancaman yang terdeteksi dalam temuan ini.

    catatan

    Dalam kasus di mana hash tidak dapat dihitung, hasil pemindaian masih dikirimkan dan nilai hash default SHA-256 ke string kosong (e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855).

• Sumber - Nilai potensial adalah Bitdefender danAmazon.

  Untuk informasi selengkapnya tentang mesin pemindaian yang digunakan untuk mendeteksi malware, lihatGuardDuty mesin pemindai deteksi malware.

Tindakan

T indakan tem uan memberikan rincian tentang jenis aktivitas yang memicu temuan. Informasi yang tersedia bervariasi berdasarkan tipe tindakan.

Tipe tindakan – Tipe aktivitas temuan. Nilai ini dapat berupa NETWORK_CONNECTION, PORT_PROBE, DNS_ REQUEST,, atau RDS_ LOGIN_ATTEMPT. AWS_API_CALL Informasi yang tersedia bervariasi berdasarkan tipe tindakan:

• NETWORK_CONNEC TION — Menunjukkan bahwa lalu lintas jaringan dipertukarkan antara instance EC2 yang diidentifikasi dan host jarak jauh. Tipe tindakan ini memiliki informasi tambahan berikut:

  • Arah koneksi — Arah koneksi jaringan yang diamati dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan. Nilai bisa jadi salah satu dari nilai berikut:

    • INBOUND — Menunjukkan bahwa host jarak jauh memulai koneksi ke port lokal pada instans EC2 yang diidentifikasi di akun Anda.

    • OUTBOUND — Menunjukkan bahwa instance EC2 yang diidentifikasi memulai koneksi ke host jarak jauh.

    • UN KNOWN — Menunjukkan bahwa tidak GuardDuty dapat menentukan arah koneksi.

  • Protokol — Protokol koneksi jaringan yang diamati dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

  • IP Lokal — Alamat IP sumber asli dari lalu lintas yang memicu temuan. Info ini dapat digunakan untuk membedakan antara alamat IP dari lapisan perantara yang dilalui arus lalu lintas, dan alamat IP sumber asal dari lalu lintas yang memicu temuan. Misalnya, alamat IP pod EKS berbeda dengan alamat IP instans tempat pod EKS berjalan.

  • Diblokir – Menunjukkan apakah port yang ditargetkan diblokir.

• PORT_PROBE — Menunjukkan bahwa host jarak jauh menyelidiki instance EC2 yang diidentifikasi pada beberapa port terbuka. Tipe tindakan ini memiliki informasi tambahan berikut:

  • IP Lokal — Alamat IP sumber asli dari lalu lintas yang memicu temuan. Info ini dapat digunakan untuk membedakan antara alamat IP dari lapisan perantara yang dilalui arus lalu lintas, dan alamat IP sumber asal dari lalu lintas yang memicu temuan. Misalnya, alamat IP pod EKS berbeda dengan alamat IP instans tempat pod EKS berjalan.

  • Diblokir – Menunjukkan apakah port yang ditargetkan diblokir.

• DNS_REQUEST — Menunjukkan bahwa instance EC2 yang diidentifikasi menanyakan nama domain. Tipe tindakan ini memiliki informasi tambahan berikut:

  • Protokol — Protokol koneksi jaringan yang diamati dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

  • Diblokir – Menunjukkan apakah port yang ditargetkan diblokir.

• AWS_API_CALL— Menunjukkan bahwa AWS API dipanggil. Tipe tindakan ini memiliki informasi tambahan berikut:

  • API — Nama operasi API yang dipanggil dan dengan demikian diminta GuardDuty untuk menghasilkan temuan ini.

    catatan

    Operasi ini juga dapat mencakup peristiwa non-API yang ditangkap oleh AWS CloudTrail. Untuk informasi selengkapnya, lihat Non-API peristiwa yang ditangkap oleh CloudTrail.

  • Agen Pengguna — Agen pengguna yang membuat permintaan API. Nilai ini memberi tahu Anda apakah panggilan dilakukan dari Konsol Manajemen AWS, AWS layanan, AWS SDK, atau. AWS CLI

  • KODE KESALAHAN — Jika temuan dipicu oleh panggilan API yang gagal, ini menampilkan kode kesalahan untuk panggilan itu.

  • Nama layanan — Nama DNS dari layanan yang mencoba membuat panggilan API yang memicu temuan.

• RDS_LOGIN_ATTEMPT — Menunjukkan bahwa upaya login dilakukan ke database yang berpotensi dikompromikan dari alamat IP jarak jauh.

  • Alamat IP — Alamat IP jarak jauh yang digunakan untuk melakukan upaya login yang berpotensi mencurigakan.

Aktor atau Target

Temuan memiliki bagian Aktor jika peran Sumber Daya adalah TARGET. Ini menunjukkan bahwa sumber daya Anda ditargetkan oleh aktivitas mencurigakan, dan bagian Aktor berisi detail tentang entitas yang menargetkan sumber daya Anda.

Temuan memiliki bagian Target jika peran Sumber Daya adalah ACTOR. Hal ini menunjukkan bahwa sumber daya Anda terlibat dalam aktivitas yang mencurigakan terhadap host jarak jauh, dan bagian ini berisi informasi tentang IP atau domain yang ditargetkan sumber daya Anda.

Informasi yang tersedia di bagian Aktor atau Target dapat mencakup hal-hal berikut:

• A filiasi — Rincian tentang apakah AWS akun pemanggil API jarak jauh terkait dengan GuardDuty lingkungan Anda. Jika nilai initrue, pemanggil API berafiliasi dengan akun Anda dalam beberapa cara; jikafalse, pemanggil API berasal dari luar lingkungan Anda.

• ID Akun J arak Jauh — ID akun yang memiliki alamat IP keluar yang digunakan untuk mengakses sumber daya di jaringan akhir.

• Alamat IP — Alamat IP yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Lokasi — Informasi lokasi untuk alamat IP yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Organisasi — Informasi organisasi ISP dari alamat IP yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Port — Nomor port yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Domain — Domain yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Domain dengan akhiran — Domain tingkat kedua dan atas yang terlibat dalam aktivitas yang berpotensi mendorong GuardDuty untuk menghasilkan temuan. Untuk daftar domain tingkat atas dan tingkat kedua, lihat daftar akhiran publik.

Rincian geolokasi

GuardDuty menentukan lokasi dan jaringan permintaan dengan menggunakan database MaxMind GeoIP. MaxMind melaporkan akurasi data yang sangat tinggi di tingkat negara, meskipun akurasi bervariasi sesuai dengan faktor-faktor seperti negara dan jenis alamat IP.

Untuk informasi selengkapnya MaxMind, lihat Geolokasi MaxMind IP. Jika Anda yakin ada data GeoIP yang salah, kirimkan permintaan koreksi ke MaxMind di Cor MaxMind rect GeoIP2 Data.

Informasi tambahan

Semua temuan memiliki bagian Informasi tambahan yang dapat mencakup informasi berikut:

• Nama daftar ancaman — Nama daftar ancaman yang menyertakan alamat IP atau nama domain yang terlibat dalam aktivitas yang diminta GuardDuty untuk menghasilkan temuan.

• Sampel — Nilai benar atau salah yang menunjukkan apakah ini adalah temuan sampel.

• Diarsipkan — Nilai benar atau salah yang menunjukkan apakah temuan ini telah diarsipkan.

• Tidak biasa — Detail aktivitas yang tidak diamati secara historis. Ini dapat mencakup pengguna yang tidak biasa (sebelumnya tidak diamati), lokasi, waktu, bucket, perilaku login, atau ASN Org.

• Protokol yang tidak biasa — Protokol koneksi jaringan yang terlibat dalam aktivitas yang mendorong GuardDuty untuk menghasilkan temuan.

• Detail agen — Detail tentang agen keamanan yang saat ini digunakan di cluster EKS di Anda Akun AWS. Ini hanya berlaku untuk jenis temuan EKS Runtime Monitoring.

  • Versi agen — Versi agen GuardDuty keamanan.

  • Id Agen — Pengidentifikasi unik dari agen GuardDuty keamanan.

Bukti

Temuan berdasarkan intelijen ancaman memiliki bagian Bukti yang mencakup informasi berikut:

• Detail intelijen ancaman — Nama daftar ancaman yang dikenali Threat name muncul.

• Nama ancaman — Nama keluarga malware atau pengenal lain yang terkait dengan ancaman.

• File ancaman SHA256 — SHA256 dari file yang menghasilkan temuan.

Perilaku anomali

Jenis temuan yang di AnomalousBehavior akhiri menunjukkan bahwa temuan tersebut dihasilkan oleh model pembelajaran mesin deteksi GuardDuty anomali (ML). Model ML mengevaluasi semua permintaan API ke akun Anda dan mengidentifikasi peristiwa anomali yang terkait dengan taktik yang digunakan oleh musuh. Model ML melacak berbagai faktor permintaan API, seperti pengguna yang membuat permintaan, lokasi tempat permintaan dibuat, dan API khusus yang diminta.

Rincian tentang faktor permintaan API yang tidak biasa untuk identitas CloudTrail pengguna yang memanggil permintaan dapat ditemukan di detail temuan. Identitas ditentukan oleh CloudTrail UserIdentity Element, dan nilai yang mungkin adalah:Root,,IAMUser,AssumedRole, FederatedUserAWSAccount, atauAWSService.

Selain detail yang tersedia untuk semua GuardDuty temuan yang terkait dengan aktivitas API, AnomalousBehavior temuan memiliki detail tambahan yang diuraikan di bagian berikut. Detail ini dapat dilihat di konsol dan juga tersedia di JSON temuan.

• API Anomali — Daftar permintaan API yang dipanggil oleh identitas pengguna di dekat permintaan API utama yang terkait dengan temuan. Panel ini lebih lanjut menguraikan detail acara API dengan cara berikut.

  • API pertama yang terdaftar adalah API utama, yang merupakan permintaan API yang terkait dengan aktivitas berisiko tertinggi yang diamati. Ini adalah API yang memicu temuan dan berkorelasi dengan tahap serangan dari tipe temuan. Ini juga merupakan API yang diuraikan di bagian Tindakan di konsol, dan di JSON temuan.

  • API lain yang terdaftar adalah API anomali tambahan dari identitas pengguna terdaftar yang diamati di sekitar API utama. Jika hanya ada satu API pada daftar, model ML tidak mengidentifikasi permintaan API tambahan dari identitas pengguna sebagai anomali.

  • Daftar API dibagi berdasarkan apakah API berhasil dipanggil, atau jika API tidak berhasil dipanggil, yang berarti respons kesalahan diterima. Jenis respons kesalahan yang diterima tercantum di atas setiap API yang tidak berhasil dipanggil. Jenis respons kesalahan yang mungkin adalah: access deniedaccess denied exception,auth failure,instance limit exceeded,invalid permission - duplicate,invalid permission - not found, danoperation not permitted.

  • API dikategorikan oleh layanan yang terkait.

  • Untuk konteks lebih lanjut, pilih Historis API untuk melihat detail tentang API teratas, hingga maksimum 20, biasanya terlihat untuk identitas pengguna dan semua pengguna dalam akun. API ditandai Langka (kurang dari sebulan sekali), J arang (beberapa kali sebulan), atau Sering (setiap hari hingga mingguan), tergantung seberapa sering API tersebut digunakan dalam akun Anda.

• Perilaku Tidak Biasa (Akun) — Bagian ini memberikan detail tambahan tentang perilaku yang diprofilkan untuk akun Anda.

  Perilaku yang diprofilkan

  GuardDuty terus belajar tentang aktivitas dalam akun Anda berdasarkan acara yang disampaikan. Aktivitas-aktivitas ini dan frekuensi pengamatannya dikenal sebagai perilaku yang diprofilkan.

  Informasi yang dilacak di panel ini mencakup:

  • ASN Org — Organisasi Nomor Sistem Otonom (ASN) tempat panggilan API anomali dibuat.

  • Nama Pengguna – Nama pengguna yang membuat panggilan API anomali.

  • Agen Pengguna — Agen pengguna yang digunakan untuk membuat panggilan API anomali. Agen pengguna adalah metode yang digunakan untuk membuat panggilan seperti aws-cli atau Botocore.

  • Tipe Pengguna – Tipe pengguna yang membuat panggilan API anomali. Kemungkinan nilainya adalah AWS_SERVICE, ASSUMED_ROLE, IAM_USER, atau ROLE.

  • Bucket — Nama bucket S3 yang sedang diakses.

• Perilaku Tidak Biasa (Identi tas Pengguna) — Bagian ini memberikan rincian tambahan tentang perilaku yang diprofilkan untuk Identi tas Pengguna yang terlibat dengan temuan. Ketika suatu perilaku tidak diidentifikasi sebagai historis, ini berarti model GuardDuty ML sebelumnya belum melihat identitas pengguna ini membuat panggilan API ini dengan cara ini dalam periode pelatihan. Berikut adalah detail tambahan tentang Identitas Pengguna yang tersedia:

  • ASN Org – ASN Org tempat panggilan API anomali dibuat.

  • Agen Pengguna — Agen pengguna yang digunakan untuk membuat panggilan API anomali. Agen pengguna adalah metode yang digunakan untuk membuat panggilan seperti aws-cli atau Botocore.

  • Bucket — Nama bucket S3 yang sedang diakses.

• Perilaku Tidak Biasa (Bucket) — Bagian ini memberikan detail tambahan tentang perilaku yang diprofilkan untuk bucket S3 yang terkait dengan temuan. Ketika suatu perilaku tidak diidentifikasi sebagai historis, ini berarti model GuardDuty ML sebelumnya belum melihat panggilan API yang dilakukan ke bucket ini dengan cara ini dalam periode pelatihan. Informasi yang dilacak di bagian ini meliputi:

  • ASN Org – ASN Org tempat panggilan API anomali dibuat.

  • Nama Pengguna – Nama pengguna yang membuat panggilan API anomali.

  • Agen Pengguna — Agen pengguna yang digunakan untuk membuat panggilan API anomali. Agen pengguna adalah metode yang digunakan untuk membuat panggilan seperti aws-cli atau Botocore.

  • Tipe Pengguna – Tipe pengguna yang membuat panggilan API anomali. Kemungkinan nilainya adalah AWS_SERVICE, ASSUMED_ROLE, IAM_USER, atau ROLE.

  catatan

  Untuk konteks lebih lanjut tentang perilaku historis, pilih Perilaku historis di bagian Perilaku tidak biasa (Akun) , ID Pengguna, atau Bucket untuk melihat detail tentang perilaku yang diharapkan di akun Anda untuk setiap kategori berikut: Langka (kurang dari sebulan sekali), J arang (beberapa kali sebulan), atau Sering (setiap hari hingga mingguan), tergantung seberapa sering mereka digunakan dalam akun Anda.

• Perilaku Tidak Biasa (Database) — Bagian ini memberikan rincian tambahan tentang perilaku yang diprofilkan untuk instance database yang terkait dengan temuan. Ketika suatu perilaku tidak diidentifikasi sebagai historis, itu berarti bahwa model GuardDuty ML sebelumnya belum melihat upaya login yang dilakukan ke instance database ini dengan cara ini dalam periode pelatihan. Informasi yang dilacak untuk bagian ini di panel temuan meliputi:

  • Nama pengguna — Nama pengguna yang digunakan untuk melakukan upaya login anomali.

  • ASN Org — Organisasi ASN tempat upaya login anomali dilakukan.

  • Nama aplikasi — Nama aplikasi yang digunakan untuk membuat upaya login anomali.

  • Nama database — Nama instance database yang terlibat dalam upaya login anomali.

  Bagian Perilaku historis menyediakan lebih banyak konteks pada nama Pengguna yang diamati sebelumnya, Organisasi ASN, Nama Aplikasi, dan Nama Database untuk database terkait. Setiap nilai unik memiliki jumlah terkait yang mewakili berapa kali nilai ini diamati dalam acara login yang berhasil.

• Perilaku yang tidak biasa (cluster Akun Kubernetes, namespace Kubernetes, dan nama pengguna Kubernetes) — Bagian ini memberikan rincian tambahan tentang perilaku yang diprofilkan untuk cluster Kubernetes dan namespace yang terkait dengan temuan. Ketika suatu perilaku tidak diidentifikasi sebagai historis, itu berarti bahwa model GuardDuty ML sebelumnya belum mengamati akun, cluster, namespace, atau nama pengguna ini dengan cara ini. Informasi yang dilacak untuk bagian ini di panel temuan meliputi:

  • Nama Pengguna — Pengguna yang memanggil API Kubernetes terkait dengan temuan tersebut.

  • Nama Pengguna Tertipu — Pengguna yang ditiru oleh. username

  • Namespace — Namespace Kubernetes di dalam cluster Amazon EKS tempat tindakan terjadi.

  • Agen Pengguna — Agen pengguna yang terkait dengan panggilan API Kubernetes. Agen pengguna adalah metode yang digunakan untuk melakukan panggilan sepertikubectl.

  • API — API Kubernetes yang dipanggil oleh username dalam cluster Amazon EKS.

  • Informasi ASN — Informasi ASN, seperti Organisasi dan ISP, terkait dengan alamat IP pengguna yang melakukan panggilan ini.

  • Hari dalam seminggu — Hari dalam seminggu ketika panggilan API Kubernetes dilakukan.

  • Iz in — Kata kerja dan sumber daya Kubernetes sedang diperiksa untuk akses untuk menunjukkan apakah username dapat menggunakan API Kubernetes atau tidak.

  • Nama Akun Layanan — Akun layanan yang terkait dengan beban kerja Kubernetes yang memberikan identitas pada beban kerja.

  • Registry — Registri kontainer yang terkait dengan image kontainer yang digunakan dalam beban kerja Kubernetes.

  • Gambar — Gambar wadah, tanpa tag dan intisari terkait, yang digunakan dalam beban kerja Kubernetes.

  • Image Prefix Config — Awalan gambar dengan konfigurasi keamanan kontainer dan beban kerja diaktifkanprivileged, seperti hostNetwork atau, untuk wadah yang menggunakan gambar.

  • Nama Sub jek — Subjek, seperti a usergroup,, atau serviceAccountName yang terikat pada peran referensi dalam RoleBinding atauClusterRoleBinding.

  • Nama Peran — Nama peran yang terlibat dalam pembuatan atau modifikasi peran atau roleBinding API.

Anomali berbasis volume S3

Bagian ini merinci informasi kontekstual untuk anomali berbasis volume S3. Volume based finding (Exfiltration:S3/AnomalousBehavior) memantau jumlah panggilan API S3 yang tidak biasa yang dilakukan ke bucket S3 oleh pengguna, menunjukkan potensi eksfiltrasi data. Panggilan API S3 berikut dipantau untuk deteksi anomali berbasis volume.

• GetObject

• CopyObject.Read

• SelectObjectContent

Metrik berikut akan membantu membangun dasar perilaku biasa ketika entitas IAM mengakses bucket S3. Untuk mendeteksi eksfiltrasi data, temuan deteksi anomali berbasis volume mengevaluasi semua aktivitas terhadap dasar perilaku biasa. Pilih Per ilaku histor is di bagian Perilaku tidak biasa (Identitas Pengguna), Volume Teramati (Identitas Pengguna) , dan Volume Teramati (Bucket) untuk melihat metrik berikut, masing-masing.

• Jumlah panggilan s3-api-name API yang dipanggil oleh pengguna IAM atau peran IAM (tergantung mana yang dikeluarkan) terkait dengan bucket S3 yang terpengaruh selama 24 jam terakhir.

• Jumlah panggilan s3-api-name API yang dipanggil oleh pengguna IAM atau peran IAM (tergantung mana yang dikeluarkan) terkait dengan semua bucket S3 selama 24 jam terakhir.

• Jumlah panggilan s3-api-name API di semua pengguna IAM atau peran IAM (tergantung mana yang dikeluarkan) yang terkait dengan bucket S3 yang terpengaruh selama 24 jam terakhir.

Anomali berbasis aktivitas login RDS

Bagian ini merinci jumlah upaya login yang dilakukan oleh aktor yang tidak biasa dan dikelompokkan berdasarkan hasil upaya login. Men Jenis temuan Perlindungan RDS gidentifikasi perilaku anomali dengan memantau peristiwa login untuk pola yang tidak biasa darisuccessfulLoginCount,failedLoginCount, danincompleteConnectionCount.

• sukses LoginCount — Penghitung ini mewakili jumlah koneksi yang berhasil (kombinasi atribut login yang benar) yang dibuat ke instance database oleh aktor yang tidak biasa. Atribut login termasuk nama pengguna, kata sandi, dan nama database.

• failed LoginCount — Penghitung ini mewakili jumlah upaya login yang gagal (tidak berhasil) yang dilakukan untuk membuat koneksi ke instance database. Ini menunjukkan bahwa satu atau lebih atribut dari kombinasi login, seperti nama pengguna, kata sandi, atau nama database salah.

• tidak lengkap ConnectionCount — Penghitung ini menunjukkan jumlah upaya koneksi yang tidak dapat diklasifikasikan sebagai berhasil atau gagal. Koneksi ini ditutup sebelum database memberikan respons. Misalnya, pemindaian port di mana port database terhubung tetapi tidak ada informasi yang dikirim ke database, atau koneksi dibatalkan sebelum login selesai dalam upaya yang berhasil atau gagal.