Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

GuardDuty Findetypen für die Laufzeitüberwachung

Amazon GuardDuty generiert die folgenden Runtime Monitoring-Ergebnisse, um potenzielle Bedrohungen auf der Grundlage des Verhaltens auf Betriebssystemebene durch Amazon EC2-Hosts und Container in Ihren Amazon EKS-Clustern, Fargate- und Amazon ECS-Workloads sowie Amazon EC2-Instances aufzuzeigen.

CryptoCurrency:Runtime/BitcoinTool.B

Eine Amazon-EC2-Instance oder ein Container fragt eine IP-Adresse ab, die mit einer Aktivität in Zusammenhang mit einer Kryptowährung in Verbindung steht.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, eine IP-Adresse abfragt, die mit einer kryptowährungsbezogenen Aktivität verknüpft ist. Bedrohungsakteure können versuchen, die Kontrolle über Datenverarbeitungsressourcen zu übernehmen, um sie böswillig für das unerlaubte Mining von Kryptowährungen umzuwidmen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn Sie diese EC2-Instance oder einen Container verwenden, um Kryptowährung zu minen oder zu verwalten, oder einer von beiden anderweitig in Blockchain-Aktivitäten involviert ist, könnte die CryptoCurrency:Runtime/BitcoinTool.B-Erkenntnis eine erwartete Aktivität für Ihre Umgebung darstellen. Wenn dies in Ihrer AWS Umgebung der Fall ist, empfehlen wir Ihnen, eine Unterdrückungsregel für dieses Ergebnis einzurichten. Die Unterdrückungsregel sollte aus zwei Filterkriterien bestehen. Das erste Filterkriterium sollte das Attribut Erkenntnistyp mit dem Wert CryptoCurrency:Runtime/BitcoinTool.B verwenden. Das zweite Filterkriterium sollte die Instance-ID der Instance oder die Container-Image-ID des Containers sein, der an Aktivitäten im Zusammenhang mit Kryptowährungen oder Blockchain beteiligt ist. Weitere Informationen finden Sie unter Unterdrückungsregeln.

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Backdoor:Runtime/C&CActivity.B

Eine Amazon-EC2-Instance oder ein Container fragt eine IP-Adresse ab, die mit einem bekannten Command-and-Control-Server verbunden ist.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, eine IP-Adresse abfragt, die einem bekannten Command and Control (C&C) -Server zugeordnet ist. Die aufgeführte Instance oder der aufgeführte Container sind möglicherweise kompromittiert. Command-and-control-Server sind Computer, die Befehle an Mitglieder eines Botnets senden.

Ein Botnet ist eine Sammlung von mit dem Internet verbundenen Geräten, zu denen PCs, Server, mobile Geräte und Geräte des Internets der Dinge gehören können, die mit einem allgemeinen Typ von Malware infiziert sind und von dieser kontrolliert werden. Botnets dienen häufig zum Verteilen von Malware und zum Sammeln von sich widerrechtlich angeeigneten Informationen, wie z. B. Kreditkartennummern. Je nach Zweck und Struktur des Botnets kann der C&C-Server auch den Befehl erteilen, einen Distributed Denial of Service (DDoS)-Angriff zu starten.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

UnauthorizedAccess:Runtime/TorRelay

Ihre Amazon-EC2-Instance oder Ihr Container stellt Verbindungen mit einem Tor-Netzwerk als Tor-Relays her.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgelisteten EC2-Instance oder einem Container in Ihrer AWS Umgebung läuft, Verbindungen zu einem Tor-Netzwerk auf eine Weise herstellt, die darauf hindeutet, dass es als Tor-Relay fungiert. Tor ist eine Software, die anonyme Kommunikation ermöglicht. Tor-Relays erhöhen die Anonymität der Kommunikation, indem sie den möglicherweise illegalen Datenverkehr des Kunden von einem Tor-Relay zu einem anderen weiterleiten.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

UnauthorizedAccess:Runtime/TorClient

Ihre Amazon-EC2-Instance oder ein Container stellt Verbindungen mit einem Tor Guard oder einem Authority-Knoten her.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgelisteten EC2-Instance oder einem Container in Ihrer AWS Umgebung läuft, Verbindungen zu einem Tor Guard- oder Authority-Knoten herstellt. Tor ist eine Software, die anonyme Kommunikation ermöglicht. Tor Guards und Authority-Knoten fungieren als erste Gateways in ein Tor-Netzwerk. Dieser Datenverkehr kann darauf hinweisen, dass diese EC2-Instance oder der Container als Client in einem Tor-Netzwerk fungieren. Dieser Befund kann auf einen unbefugten Zugriff auf Ihre AWS Ressourcen hinweisen, mit der Absicht, die wahre Identität des Angreifers zu verbergen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/BlackholeTraffic

Eine Amazon-EC2-Instance oder ein Container versucht, mit einer IP-Adresse eines Remote-Hosts zu kommunizieren, der ein bekanntes schwarzes Loch ist.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, möglicherweise gefährdet ist, weil er versucht, mit der IP-Adresse eines schwarzen Lochs (oder Sinkholes) zu kommunizieren. Schwarze Löcher sind Stellen im Netzwerk, an denen eingehender oder ausgehender Datenverkehr stillschweigend verworfen wird, ohne die Quelle darüber zu informieren, dass die Daten den vorgesehenen Empfänger nicht erreicht haben. Die IP-Adresse eines schwarzen Lochs gibt einen Hostcomputer an, der nicht ausgeführt wird, oder eine Adresse, der kein Host zugewiesen wurde.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/DropPoint

Eine Amazon-EC2-Instance oder ein Container versucht, mit einer IP-Adresse eines Remote-Hosts zu kommunizieren, von dem bekannt ist, dass er Anmeldeinformationen und andere mithilfe von Malware gestohlene Daten enthält.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, versucht, mit der IP-Adresse eines Remote-Hosts zu kommunizieren, von dem bekannt ist, dass er Anmeldeinformationen und andere gestohlene Daten enthält, die von Malware erfasst wurden.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

CryptoCurrency:Runtime/BitcoinTool.B! DNS

Eine Amazon EC2-Instance oder ein Container fragt einen Domainnamen ab, der mit Aktivitäten in Zusammenhang mit Kryptowährungen in Verbindung steht.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen abfragt, der mit Bitcoin oder einer anderen kryptowährungsbezogenen Aktivität verknüpft ist. Bedrohungsakteure können versuchen, die Kontrolle über Datenverarbeitungsressourcen zu übernehmen, um sie böswillig für das unerlaubte Mining von Kryptowährungen umzuwidmen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn Sie diese EC2-Instance oder den Container verwenden, um Kryptowährung zu minen oder zu verwalten, oder diese Instance anderweitig an der Blockchain-Aktivität beteiligt ist, könnte diese CryptoCurrency:Runtime/BitcoinTool.B!DNS-Erkenntnis erwartete Aktivitäten für Ihre Umgebung repräsentieren. Wenn dies in Ihrer AWS Umgebung der Fall ist, empfehlen wir Ihnen, eine Unterdrückungsregel für dieses Ergebnis einzurichten. Die Unterdrückungsregel sollte aus zwei Filterkriterien bestehen. Das erste Kriterium sollte das Attribut Erkenntnistyp mit dem Wert CryptoCurrency:Runtime/BitcoinTool.B!DNS verwenden. Das zweite Filterkriterium sollte die Instance-ID der Instance oder die Container-Image-ID des Containers sein, der an Aktivitäten im Zusammenhang mit Kryptowährungen oder Blockchain beteiligt ist. Weitere Informationen finden Sie unter Unterdrückungsregeln.

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Backdoor:Runtime/C&CActivity.B! DNS

Eine Amazon EC2-Instance oder ein Container fragt einen Domainamen ab, der einem bekannten Command-and-Control-Server zugeordnet wird.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen abfragt, der einem bekannten Command and Control (C&C) -Server zugeordnet ist. Die aufgelistete EC2 Instance oder der aufgelistete Container sind möglicherweise kompromittiert. Command-and-control-Server sind Computer, die Befehle an Mitglieder eines Botnets senden.

Ein Botnet ist eine Sammlung von mit dem Internet verbundenen Geräten, zu denen PCs, Server, mobile Geräte und Geräte des Internets der Dinge gehören können, die mit einem allgemeinen Typ von Malware infiziert sind und von dieser kontrolliert werden. Botnets dienen häufig zum Verteilen von Malware und zum Sammeln von sich widerrechtlich angeeigneten Informationen, wie z. B. Kreditkartennummern. Je nach Zweck und Struktur des Botnets kann der C&C-Server auch den Befehl erteilen, einen Distributed Denial of Service (DDoS)-Angriff zu starten.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/BlackholeTraffic! DNS

Eine Amazon EC2-Instance oder ein Container fragt einen Domainnamen ab, der an eine IP-Adresse eines schwarzen Lochs weitergeleitet wird.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, möglicherweise gefährdet ist, weil er einen Domainnamen abfragt, der an eine Black-Hole-IP-Adresse umgeleitet wird. Schwarze Löcher sind Stellen im Netzwerk, an denen eingehender oder ausgehender Datenverkehr stillschweigend verworfen wird, ohne die Quelle darüber zu informieren, dass die Daten den vorgesehenen Empfänger nicht erreicht haben.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/DropPoint! DNS

Eine Amazon-EC2-Instance oder ein Container fragt einen Domainnamen eines Remote-Hosts ab, von dem bekannt ist, dass er Anmeldeinformationen und andere mithilfe von Malware gestohlene Daten enthält.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, den Domainnamen eines Remote-Hosts abfragt, von dem bekannt ist, dass er Anmeldeinformationen und andere gestohlene Daten enthält, die von Malware erfasst wurden.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/DGADomainRequest.C! DNS

Eine Amazon-EC2-Instance oder ein Container fragt algorithmisch generierte Domains ab. Solche Domains werden häufig von Malware genutzt und können auf eine kompromittierte EC2-Instance oder Container hinweisen.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, versucht, Domänen mit dem Domaingenerierungsalgorithmus (DGA) abzufragen. Ihre Ressource wurde möglicherweise kompromittiert.

DGAs werden verwendet, um in regelmäßigen Abständen eine große Anzahl an Domainnamen zu generieren, die als Rendezvous Points mit ihren Command-and-Control (C&C)-Servern verwendet werden können. Command-and-Control-Server sind Computer, die Befehle an die Mitglieder eines Botnets senden. Hierbei handelt es sich um eine Ansammlung von mit dem Internet verbundenen Geräten, die infiziert sind und von einer gängigen Malware kontrolliert werden. Die große Anzahl potenzieller Rendezvous Points erschwert ein effektives Stilllegen von Botnets, da infizierte Computer versuchen, einige dieser Domainnamen täglich zu kontaktieren, um Updates oder Befehle zu erhalten.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/DriveBySourceTraffic! DNS

Eine Amazon EC2-Instance oder ein Container fragt den Domainnamen eines Remote-Hosts ab, der eine bekannte Quelle von Drive-By Download-Angriffen ist.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, möglicherweise gefährdet ist, weil er den Domainnamen eines Remote-Hosts abfragt, der eine bekannte Quelle für Drive-by-Download-Angriffe ist. Hierbei handelt es sich um unbeabsichtigte Downloads von Computersoftware aus dem Internet, die eine automatische Installation von Viren, Spyware oder Malware auslösen kann.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Trojan:Runtime/PhishingDomainRequest! DNS

Eine Amazon-EC2-Instance oder ein Container fragt Domains ab, die an Phishing-Angriffen beteiligt sind.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, versucht, eine Domain abzufragen, die an Phishing-Angriffen beteiligt ist. Phishing-Domains werden von jemandem eingerichtet, der sich als rechtmäßige Institution ausgibt, um Personen dazu zu bringen, sensible Daten bereitzustellen, wie beispielsweise personenbezogene Informationen, Bank- und Kreditkartendaten oder Passwörter. Ihre EC2-Instance oder der Container versucht möglicherweise, sensible Daten abzurufen, die auf einer Phishing-Website gespeichert sind, oder versucht möglicherweise, eine Phishing-Website einzurichten. Die EC2-Instance oder der Container sind möglicherweise kompromittiert.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Impact:Runtime/AbusedDomainRequest.Reputation

Eine Amazon-EC2-Instance oder ein Container fragt einen Domainnamen mit niedriger Reputation ab, der mit bekanntermaßen missbrauchten Domains verknüpft ist.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen mit niedriger Reputation abfragt, der mit bekanntermaßen missbrauchten Domänen oder IP-Adressen verknüpft ist. Beispiele für missbrauchte Domains sind Top-Level-Domainnamen (TLDs) und Second-Level-Domainnamen (2LDs), die kostenlose Subdomain-Registrierungen bieten, sowie dynamische DNS-Anbieter. Bedrohungsakteure nutzen diese Services in der Regel, um Domains kostenlos oder zu geringen Kosten zu registrieren. Bei Domains mit geringer Reputation in dieser Kategorie kann es sich auch um abgelaufene Domains handeln, die auf die Parking-IP-Adresse eines Registrars zurückgehen und daher möglicherweise nicht mehr aktiv sind. Bei einer Parking-IP leitet ein Registrar den Verkehr für Domains weiter, die mit keinem Service verknüpft wurden. Die aufgelistete Amazon-EC2-Instance oder der Container können kompromittiert sein, da Bedrohungsakteure diese Registrare oder Services häufig für C&C und die Verbreitung von Malware nutzen.

Domains mit niedriger Reputation basieren auf einem Reputations-Punkte-Modell. Dieses Modell bewertet und bewertet die Eigenschaften einer Domain, um zu ermitteln, ob es sich um eine bösartige Domain handeln könnte.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Impact:Runtime/BitcoinDomainRequest.Reputation

Eine Amazon-EC2-Instance oder ein Container fragt einen Domainnamen ab, der mit einer Aktivität in Zusammenhang mit einer Kryptowährung in Verbindung steht.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen mit niedriger Reputation abfragt, der mit Bitcoin oder anderen kryptowährungsbezogenen Aktivitäten in Verbindung steht. Bedrohungsakteure können versuchen, die Kontrolle über Datenverarbeitungsressourcen zu übernehmen, um sie böswillig für das unerlaubte Mining von Kryptowährungen umzuwidmen.

Domains mit niedriger Reputation basieren auf einem Reputations-Punkte-Modell. Dieses Modell bewertet und bewertet die Eigenschaften einer Domain, um zu ermitteln, ob es sich um eine bösartige Domain handeln könnte.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn Sie diese EC2-Instance oder den Container verwenden, um Kryptowährung zu minen oder zu verwalten, oder diese Instance anderweitig an Blockchain-Aktivitäten beteiligt ist, könnte diese Erkenntnis erwartete Aktivitäten für Ihre Umgebung repräsentieren. Wenn dies in Ihrer AWS Umgebung der Fall ist, empfehlen wir Ihnen, eine Unterdrückungsregel für dieses Ergebnis einzurichten. Die Unterdrückungsregel sollte aus zwei Filterkriterien bestehen. Das erste Filterkriterium sollte das Attribut Erkenntnistyp mit dem Wert Impact:Runtime/BitcoinDomainRequest.Reputation verwenden. Das zweite Filterkriterium sollte die Instance-ID der Instance oder die Container-Image-ID des Containers sein, der an Aktivitäten im Zusammenhang mit Kryptowährung oder Blockchain beteiligt ist. Weitere Informationen finden Sie unter Unterdrückungsregeln.

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Impact:Runtime/MaliciousDomainRequest.Reputation

Eine Amazon-EC2-Instance oder ein Container fragt eine Domain mit niedriger Reputation ab, die mit bekannten bösartigen Domains verknüpft ist.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen mit niedriger Reputation abfragt, der mit bekannten bösartigen Domänen oder IP-Adressen verknüpft ist. Beispielsweise können Domains mit einer bekannten Sinkhole-IP-Adresse verknüpft sein. Sinkhole-Domains sind Domains, die zuvor von einem Bedrohungsakteur kontrolliert wurden, und Anfragen an sie können darauf hinweisen, dass die Instance kompromittiert wurde. Diese Domains können auch mit bekannten böswilligen Kampagnen oder Algorithmen zur Domain-Generierung korreliert sein.

Domains mit niedriger Reputation basieren auf einem Reputations-Punkte-Modell. Dieses Modell bewertet und bewertet die Eigenschaften einer Domain, um zu ermitteln, ob es sich um eine bösartige Domain handeln könnte.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Impact:Runtime/SuspiciousDomainRequest.Reputation

Eine Amazon-EC2-Instance oder ein Container fragt einen Domainnamen mit geringer Reputation ab, der aufgrund seines Alters oder seiner geringen Beliebtheit verdächtig ist.

Standard-Schweregrad: Niedrig

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem Container in Ihrer AWS Umgebung ausgeführt wird, einen Domainnamen mit niedriger Reputation abfragt, von dem vermutet wird, dass er bösartig ist. Die beobachteten Merkmale dieser Domäne stimmten mit den zuvor beobachteten bösartigen Domänen überein. Unser Reputationsmodell war jedoch nicht in der Lage, es definitiv mit einer bekannten Bedrohung in Verbindung zu bringen. Diese Domains werden in der Regel neu beobachtet oder erhalten nur wenig Datenverkehr.

Domains mit niedriger Reputation basieren auf einem Reputations-Punkte-Modell. Dieses Modell bewertet und bewertet die Eigenschaften einer Domain, um zu ermitteln, ob es sich um eine bösartige Domain handeln könnte.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

UnauthorizedAccess:Runtime/MetadataDNSRebind

Eine Amazon-EC2-Instance oder ein Container führen DNS-Lookups durch, die in den Instance-Metadatenservice aufgelöst werden.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, eine Domain abfragt, die in die EC2-Metadaten-IP-Adresse (169.254.169.254) aufgelöst wird. Eine solche DNS-Abfrage kann darauf hinweisen, dass die Instance das Ziel einer DNS-Neubindung-Technik ist. Diese Technik kann verwendet werden, um Metadaten von einer EC2-Instance abzurufen, einschließlich der mit der Instance verknüpften IAM-Anmeldeinformationen.

Bei der DNS-Neubindung wird eine Anwendung, die auf der EC2-Instance läuft, dazu gebracht, Rückgabedaten von einer URL zu laden, wobei der Domainname in der URL in die IP-Adresse der EC2-Metadaten (169.254.169.254) aufgelöst wird. Dies bewirkt, dass die Anwendung auf EC2-Metadaten zugreift und sie möglicherweise für den Angreifer verfügbar macht.

Der Zugriff auf EC2-Metadaten mit DNS-Neubindung ist nur möglich, wenn auf der EC2-Instance eine anfällige Anwendung ausgeführt wird, die das Einfügen von URLs ermöglicht, oder wenn ein menschlicher Benutzer in einem Webbrowser, der auf der EC2-Instance ausgeführt wird, auf die URL zugreift.

Der Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. GuardDuty Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Prüfen Sie als Reaktion auf diese Erkenntnis, ob auf der EC2-Instance oder dem Container eine anfällige Anwendung ausgeführt wird, oder ob ein menschlicher Benutzer über einen Browser auf die in der Erkenntnis angegebene Domain zugegriffen hat. Wenn die Ursache eine anfällige Anwendung ist, beheben Sie die Schwachstelle. Wenn ein Benutzer die identifizierte Domain aufgerufen hat, blockieren Sie die Domain oder verhindern Sie, dass Benutzer darauf zugreifen. Wenn Sie in dieser Erkenntnis einen Zusammenhang mit einem der obigen Fälle feststellen, sollten Sie die mit der EC2-Instance verknüpfte Sitzung widerrufen.

Einige AWS Kunden ordnen die Metadaten-IP-Adresse absichtlich einem Domainnamen auf ihren autoritativen DNS-Servern zu. Wenn dies in Ihrer -Umgebung der Fall ist, empfehlen wir, für diese Erkenntnis eine Unterdrückungsregel festzulegen. Die Unterdrückungsregel sollte aus zwei Filterkriterien bestehen. Das erste Filterkriterium sollte das Attribut Erkenntnistyp mit dem Wert UnauthorizedAccess:Runtime/MetadataDNSRebind verwenden. Das zweite Filterkriterium sollte die DNS-Anforderungs-Domain oder die Container-Image-ID des Containers sein. Das zweite Filterkriterium sollte die DNS-Anforderungs-Domain sein, und der Wert sollte mit der Domain übereinstimmen, die Sie der Metadaten-IP-Adresse zugeordnet haben (169.254.169.254). Weitere Informationen zum Erstellen von Unterdrückungsregeln finden Sie unter Unterdrückungsregeln.

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/NewBinaryExecuted

Eine neu erstellte oder kürzlich geänderte Binärdatei in einem Container wurde ausgeführt.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass eine neu erstellte oder kürzlich geänderte Binärdatei in einem Container ausgeführt wurde. Es ist eine bewährte Methode, Container zur Laufzeit unveränderlich zu halten. Binärdateien, Skripten oder Bibliotheken sollten während der Lebensdauer des Containers nicht erstellt oder geändert werden. Dieses Verhalten weist darauf hin, dass ein böswilliger Akteur Zugriff auf den Container erhalten, Malware oder andere Software heruntergeladen und im Rahmen der potenziellen Kompromittierung ausgeführt hat. Obwohl diese Art von Aktivität ein Hinweis auf eine Kompromittierung sein könnte, ist sie auch ein weit verbreitetes Nutzungsmuster. GuardDuty Verwendet daher Mechanismen, um verdächtige Fälle dieser Aktivität zu identifizieren, und generiert diesen Ergebnistyp nur für verdächtige Fälle.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Um den Änderungsprozess und die neue Binärdatei zu identifizieren, sehen Sie sich die Prozessdetails zum Ändern und die Prozessdetails an

Die Einzelheiten des Änderungsprozesses sind im service.runtimeDetails.context.modifyingProcess JSON-Feld für die Suche oder im Bereich „Findungsdetails“ unter „Prozess ändern“ enthalten. Bei diesem Ergebnistyp erfolgt der Änderungsvorgang entsprechend dem service.runtimeDetails.context.modifyingProcess.executablePath JSON-Feld für die Suche oder als Teil des Änderungsprozesses im Bereich mit den Suchdetails. /usr/bin/dpkg

Die Details der ausgeführten neuen oder geänderten Binärdatei sind in service.runtimeDetails.process der JSON-Datei für die Suche oder im Abschnitt „Prozess“ unter „Laufzeitdetails“ enthalten. Für diesen Findetyp ist die neue oder geänderte Binärdatei/usr/bin/python3.8, wie im Feld service.runtimeDetails.process.executablePath (Ausführbarer Pfad) angegeben.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/DockerSocketAccessed

Ein Prozess in einem Container kommuniziert über den Docker-Socket mit dem Docker-Daemon.

Standard-Schweregrad: Mittel

Der Docker-Socket ist ein Unix-Domain-Socket, den Docker-Daemon (dockerd) verwendet, um mit seinen Clients zu kommunizieren. Ein Client kann verschiedene Aktionen ausführen, z. B. das Erstellen von Containern, indem er über den Docker-Socket mit dem Docker-Daemon kommuniziert. Es ist verdächtig, dass ein Container-Prozess auf den Docker-Socket zugreift. Ein Container-Prozess kann dem Container entkommen und Zugriff auf Host-Ebene erhalten, indem er mit dem Docker-Socket kommuniziert und einen privilegierten Container erstellt.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/RuncContainerEscape

Ein Container-Escape-Versuch über runC wurde erkannt.

Standard-Schweregrad: Hoch

RunC ist die Low-Level-Container-Runtime, die High-Level-Container-Runtimes wie Docker und Containerd verwenden, um Container zu erzeugen und auszuführen. RunC wird immer mit Root-Rechten ausgeführt, da es die Low-Level-Aufgabe der Erstellung eines Containers ausführen muss. Ein Bedrohungsakteur kann sich Zugriff auf Host-Ebene verschaffen, indem er eine Sicherheitslücke in der RunC-Binärdatei entweder modifiziert oder ausnutzt.

Dieses Ergebnis erkennt Änderungen an der RunC-Binärdatei und potenzielle Versuche, die folgenden RunC-Sicherheitslücken auszunutzen:

Diese Erkenntnis könnte darauf hindeuten, dass ein böswilliger Akteur versucht hat, einen der folgenden Containertypen auszunutzen:

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/CGroupsReleaseAgentModified

Ein Container-Escape-Versuch über den CGroups-Release-Agent wurde erkannt.

Standard-Schweregrad: Hoch

Diese Erkenntnis informiert Sie darüber, dass ein Versuch erkannt wurde, eine Release-Agent-Datei für eine Kontrollgruppe (Cgroup) zu ändern. Linux verwendet Kontrollgruppen (Cgroups), um die Ressourcennutzung einer Reihe von Prozessen einzuschränken, zu berücksichtigen und zu isolieren. Jede Cgroup hat eine Release-Agent-Datei (release_agent), ein Skript, das Linux ausführt, wenn ein Prozess innerhalb der Cgroup beendet wird. Die Release-Agent-Datei wird immer auf Host-Ebene ausgeführt. Ein Bedrohungsakteur in einem Container kann zum Host entkommen, indem er beliebige Befehle in die Release-Agent-Datei schreibt, die zu einer Cgroup gehört. Wenn ein Prozess innerhalb dieser Cgroup beendet wird, werden die vom Akteur geschriebenen Befehle ausgeführt.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/ProcessInjection.Proc

In einem Container oder einer Amazon-EC2-Instance wurde eine Prozessinjektion mithilfe des proc-Dateisystems erkannt.

Standard-Schweregrad: Hoch

Bei der Prozessinjektion handelt es sich um eine Technik, mit der Bedrohungsakteure Code in Prozesse einschleusen, um Schutzmaßnahmen zu umgehen und möglicherweise Rechte zu erweitern. Das proc-Dateisystem (procfs) ist ein spezielles Dateisystem in Linux, das den virtuellen Speicher eines Prozesses als Datei darstellt. Der Pfad dieser Datei ist /proc/PID/mem, wobei PID die eindeutige ID des Prozesses ist. Ein Bedrohungsakteur kann in diese Datei schreiben, um Code in den Prozess einzuschleusen. Diese Erkenntnis identifiziert potenzielle Versuche, in diese Datei zu schreiben.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn diese Aktivität unerwartet ist, wurde Ihr Ressourcentyp möglicherweise kompromittiert. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/ProcessInjection.Ptrace

In einem Container oder einer Amazon-EC2-Instance wurde eine Prozessinjektion mithilfe des ptrace-Systemaufrufs erkannt.

Standard-Schweregrad: Mittel

Bei der Prozessinjektion handelt es sich um eine Technik, mit der Bedrohungsakteure Code in Prozesse einschleusen, um Schutzmaßnahmen zu umgehen und möglicherweise Rechte zu erweitern. Ein Prozess kann den ptrace-Systemaufruf verwenden, um Code in einen anderen Prozess einzuschleusen. Diese Erkenntnis identifiziert einen möglichen Versuch, mithilfe des Systemaufrufs ptrace Code in einen Prozess einzuschleusen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn diese Aktivität unerwartet ist, wurde Ihr Ressourcentyp möglicherweise kompromittiert. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/ProcessInjection.VirtualMemoryWrite

In einem Container oder einer Amazon-EC2-Instance wurde eine Prozessinjektion durch direktes Schreiben in den virtuellen Speicher erkannt.

Standard-Schweregrad: Hoch

Bei der Prozessinjektion handelt es sich um eine Technik, mit der Bedrohungsakteure Code in Prozesse einschleusen, um Schutzmaßnahmen zu umgehen und möglicherweise Rechte zu erweitern. Ein Prozess kann einen Systemaufruf wie process_vm_writev verwenden, um Code direkt in den virtuellen Speicher eines anderen Prozesses einzuschleusen. Diese Erkenntnis identifiziert einen möglichen Versuch, mithilfe eines Systemaufrufs Code in den virtuellen Speicher eines Prozesses einzuschleusen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn diese Aktivität unerwartet ist, wurde Ihr Ressourcentyp möglicherweise kompromittiert. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/ReverseShell

Ein Prozess in einem Container oder einer Amazon-EC2-Instance hat eine Reverse-Shell erstellt.

Standard-Schweregrad: Hoch

Eine Reverse-Shell ist eine Shell-Sitzung, die auf einer Verbindung erstellt wird, die vom Zielhost zum Host des Akteurs initiiert wird. Dies ist das Gegenteil einer normalen Shell, die vom Host des Akteurs zum Host des Ziels initiiert wird. Bedrohungsakteure erstellen eine Reverse-Shell, um Befehle auf dem Ziel auszuführen, nachdem sie sich den ersten Zugriff auf das Ziel verschafft haben. Dieser Befund identifiziert potenziell verdächtige Reverse-Shell-Verbindungen.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext und generiert diesen Ergebnistyp nur, wenn sich herausstellt, dass die zugehörige Aktivität und der Kontext ungewöhnlich oder verdächtig sind. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Der GuardDuty Security Agent überwacht Ereignisse aus mehreren Quellen. Um die betroffene Ressource zu identifizieren, sehen Sie in den Suchdetails in der GuardDuty Konsole den Ressourcentyp an. Wenn diese Aktivität unerwartet ist, wurde Ihr Ressourcentyp möglicherweise kompromittiert. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/FilelessExecution

Ein Prozess in einem Container oder einer Amazon-EC2-Instance führt Code aus dem Speicher aus.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, wenn ein Prozess mit einer im Speicher befindlichen ausführbaren Datei auf der Festplatte ausgeführt wird. Dabei handelt es sich um eine gängige Technik zur Umgehung von Schutzmaßnahmen, bei der verhindert wird, dass die schädliche ausführbare Datei auf die Festplatte geschrieben wird, um der Erkennung durch Dateisystem-Scans zu entgehen. Diese Technik wird zwar von Schadsoftware verwendet, hat aber auch einige legitime Anwendungsfälle. Eines der Beispiele ist ein Just-in-Time-Compiler (JIT), der kompilierten Code in den Speicher schreibt und ihn aus dem Speicher ausführt.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Impact:Runtime/CryptoMinerExecuted

Ein Container oder eine Amazon-EC2-Instance führt eine Binärdatei aus, die mit einer Cryptocurrency-Mining-Aktivität verknüpft ist.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten EC2-Instance oder dem aufgelisteten EC2-Container in Ihrer AWS Umgebung ausgeführt wird, eine Binärdatei ausführt, die mit einer Cryptocurrency-Mining-Aktivität verknüpft ist. Bedrohungsakteure können versuchen, die Kontrolle über Datenverarbeitungsressourcen zu übernehmen, um sie böswillig für das unerlaubte Mining von Kryptowährungen umzuwidmen.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole unter Ressourcentyp nachKorrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/NewLibraryLoaded

Eine neu erstellte oder kürzlich geänderte Bibliothek wurde von einem Prozess in einen Container geladen.

Standard-Schweregrad: Mittel

Diese Erkenntnis informiert Sie darüber, dass eine Bibliothek während der Laufzeit in einem Container erstellt oder geändert und von einem Prozess geladen wurde, der innerhalb des Containers ausgeführt wird. Es ist eine bewährte Methode, Container zur Laufzeit unveränderlich zu halten. Binärdateien, Skripten oder Bibliotheken sollten während der Lebensdauer des Containers nicht erstellt oder geändert werden. Das Laden einer neu erstellten oder geänderten Bibliothek in einen Container kann auf verdächtige Aktivitäten hinweisen. Dieses Verhalten weist auf einen böswilligen Akteur hin, der sich Zugriff auf den Container verschafft und im Rahmen der potenziellen Sicherheitslücke Malware oder andere Software heruntergeladen und ausgeführt hat. Obwohl diese Art von Aktivität ein Hinweis auf eine Kompromittierung sein könnte, ist sie auch ein weit verbreitetes Nutzungsmuster. GuardDuty Verwendet daher Mechanismen, um verdächtige Fälle dieser Aktivität zu identifizieren, und generiert diesen Ergebnistyp nur für verdächtige Fälle.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/ContainerMountsHostDirectory

Ein Prozess in einem Container hat zur Laufzeit ein Host-Dateisystem gemountet.

Standard-Schweregrad: Mittel

Bei mehreren Techniken zur Container-Escape-Methode wird zur Laufzeit ein Host-Dateisystem in einem Container gemountet. Diese Erkenntnis informiert Sie darüber, dass ein Prozess in einem Container möglicherweise versucht hat, ein Host-Dateisystem zu mounten, was auf einen Fluchtversuch zum Host hindeuten kann.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/UserfaultfdUsage

Ein Prozess verwendete userfaultfd-Systemaufrufe, um Seitenfehler im Benutzerbereich zu behandeln.

Standard-Schweregrad: Mittel

Typischerweise werden Seitenfehler vom Kernel im Kernel-Space behandelt. Ein userfaultfd-Systemaufruf ermöglicht es einem Prozess jedoch, Seitenfehler in einem Dateisystem in der Benutzerumgebung zu behandeln. Dies ist eine nützliches Feature, die die Implementierung von Dateisystemen in der Benutzerumgebung ermöglicht. Andererseits kann sie auch von einem potenziell bösartigen Prozess verwendet werden, um den Kernel von der Benutzerumgebung aus zu unterbrechen. Das Unterbrechen des Kernels mithilfe eines userfaultfd-Systemaufrufs ist eine gängige Ausnutzungstechnik, um Race-Fenster zu verlängern, während die Kernel-Race-Bedingungen ausgenutzt werden. Die Verwendung von userfaultfd kann auf verdächtige Aktivitäten auf der Amazon Elastic Compute Cloud (Amazon EC2)-Instance hinweisen.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/SuspiciousTool

Ein Container oder eine Amazon-EC2-Instance führt eine Binärdatei oder ein Skript aus, das häufig in offensiven Sicherheitsszenarien wie Pentesting-Angriffen verwendet wird.

Standard-Schweregrad: Variabel

Der Schweregrad dieses Befundes kann entweder hoch oder niedrig sein, je nachdem, ob das erkannte verdächtige Tool als doppelter Verwendungszweck eingestuft wird oder ob es ausschließlich für anstößige Zwecke bestimmt ist.

Dieser Befund informiert Sie darüber, dass ein verdächtiges Tool auf einer EC2-Instance oder einem EC2-Container in Ihrer AWS Umgebung ausgeführt wurde. Dazu gehören Tools, die bei Pentesting-Projekten verwendet werden, auch bekannt als Backdoor-Tools, Netzwerkscanner und Netzwerk-Sniffer. Alle diese Tools können in harmlosen Zusammenhängen eingesetzt werden, werden aber auch häufig von Bedrohungsakteuren mit böswilliger Absicht verwendet. Die Beobachtung anstößiger Sicherheitstools könnte darauf hindeuten, dass die zugehörige EC2-Instance oder der zugehörige EC2-Container kompromittiert wurde.

GuardDuty untersucht die zugehörigen Laufzeitaktivitäten und den zugehörigen Kontext, sodass dieses Ergebnis nur generiert wird, wenn die zugehörige Aktivität und der Kontext potenziell verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/SuspiciousCommand

Ein verdächtiger Befehl wurde auf einer Amazon-EC2-Instance oder in einem Container ausgeführt. Dies weist auf eine Kompromittierung hin.

Standard-Schweregrad: Variabel

Je nach Auswirkung des beobachteten bösartigen Musters kann der Schweregrad dieses Erkenntnistyps entweder niedrig, mittel oder hoch sein.

Dieses Ergebnis informiert Sie darüber, dass ein verdächtiger Befehl ausgeführt wurde, und weist darauf hin, dass eine Amazon EC2-Instance oder ein Container in Ihrer AWS Umgebung kompromittiert wurde. Dies kann bedeuten, dass entweder eine Datei aus einer verdächtigen Quelle heruntergeladen und dann ausgeführt wurde oder dass ein laufender Prozess in seiner Befehlszeile ein bekanntes bösartiges Muster zeigt. Dies weist außerdem darauf hin, dass Malware auf dem System ausgeführt wird.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext, sodass dieses Ergebnis nur generiert wird, wenn die zugehörige Aktivität und der Kontext potenziell verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/SuspiciousCommand

Ein Befehl wurde auf der aufgelisteten Amazon-EC2-Instance oder in einem Container ausgeführt. Damit wird versucht, einen Linux-Abwehrmechanismus wie eine Firewall oder wichtige Systemdienste zu ändern oder zu deaktivieren.

Standard-Schweregrad: Variabel

Je nachdem, welcher Abwehrmechanismus verändert oder deaktiviert wurde, kann der Schweregrad dieses Erkenntnistyps entweder hoch, mittel oder niedrig sein.

Diese Erkenntnis informiert Sie darüber, dass ein Befehl ausgeführt wurde, mit dem versucht wird, einen Angriff vor den Sicherheitsdiensten des lokalen Systems zu verbergen. Dazu gehören Aktionen wie das Deaktivieren der Unix-Firewall, das Ändern lokaler IP-Tabellen, das Entfernen von crontab-Einträgen, das Deaktivieren eines lokalen Dienstes oder das Übernehmen der LDPreload-Funktion. Jede Änderung ist äußerst verdächtig und ein potenzieller Indikator für eine Gefährdung. Daher erkennen oder verhindern diese Mechanismen eine weitere Beeinträchtigung des Systems.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext, sodass dieses Ergebnis nur generiert wird, wenn die zugehörige Aktivität und der Kontext potenziell verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie sich den Ressourcentyp in den Ergebnisdetails in der GuardDuty Konsole an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/PtraceAntiDebugging

Ein Prozess in einem Container oder auf einer Amazon-EC2-Instance hat mithilfe des ptrace-Systemaufrufs eine Anti-Debugging-Maßnahme ausgeführt.

Standard-Schweregrad: Niedrig

Dieses Ergebnis zeigt, dass ein Prozess, der auf der aufgeführten Amazon EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wird, den ptrace-Systemaufruf mit der Option verwendet hat. PTRACE_TRACEME Diese Aktivität würde dazu führen, dass sich ein angefügter Debugger vom laufenden Prozess löst. Wenn kein Debugger angefügt ist, hat sie keine Wirkung. Die Aktivität an sich erregt jedoch Verdacht. Dies könnte darauf hindeuten, dass Malware auf dem System ausgeführt wird. Bei Malware werden häufig Anti-Debugging-Techniken verwendet, um der Analyse zu entgehen. Diese Techniken können zur Laufzeit erkannt werden.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext, sodass dieses Ergebnis nur generiert wird, wenn die zugehörige Aktivität und der Kontext potenziell verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/MaliciousFileExecuted

Eine bekannte bösartige ausführbare Datei wurde auf einer Amazon-EC2-Instance oder in einem Container ausgeführt.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass eine bekannte bösartige ausführbare Datei auf einer Amazon EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wurde. Dies ist ein starker Indikator dafür, dass die Instance oder der Container potenziell kompromittiert und Malware ausgeführt wurde.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext, sodass dieses Ergebnis nur generiert wird, wenn die zugehörige Aktivität und der Kontext potenziell verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/MaliciousFileExecuted.Custom

Eine bösartige ausführbare Datei auf einer benutzerdefinierten Bedrohungsliste wurde auf einer Amazon-EC2-Instance oder in einem Container ausgeführt.

Standard-Schweregrad: Hoch

Dieses Ergebnis informiert Sie darüber, dass eine ausführbare Datei, die in einer Bedrohungsliste enthalten ist, die Sie hochgeladen und aktiviert haben, auf einer Amazon EC2-Instance oder einem Container in Ihrer AWS Umgebung ausgeführt wurde. In GuardDuty: Eine Liste der Bedrohungsentitäten kann bekannte bösartige IP-Adressen, Domänen und SHA-256 Datei-Hashes enthalten. GuardDuty generiert Ergebnisse auf der Grundlage der Aktivität, die mit der hochgeladenen Liste der Bedrohungsentitäten verknüpft ist. Sie können den Namen der Bedrohungsentitätenliste in den Erkenntnisdetails einsehen.

Hinweis: Diese Erkenntnis wird nur ausgelöst, wenn eine ausführbare Datei ausgeführt wird, deren Hash in der Bedrohungsentitätenliste enthalten war.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcen. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Execution:Runtime/SuspiciousShellCreated

Ein Netzwerkdienst oder ein Prozess, auf den über das Netzwerk zugegriffen werden kann, auf einer Amazon EC2-Instance oder in einem Container hat einen interaktiven Shell-Prozess gestartet.

Standard-Schweregrad: Niedrig

Dieses Ergebnis informiert Sie darüber, dass ein über das Netzwerk zugänglicher Service auf einer Amazon EC2-Instance oder in einem Container in Ihrer AWS Umgebung eine interaktive Shell gestartet hat. Unter bestimmten Umständen kann dieses Szenario auf ein Verhalten nach der Ausnutzung hinweisen. Interaktive Shells ermöglichen es Angreifern, beliebige Befehle auf einer kompromittierten Instance oder einem kompromittierten Container auszuführen.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar. Sie können die über das Netzwerk zugänglichen Prozessinformationen in den Details des übergeordneten Prozesses einsehen.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/ElevationToRoot

Ein Prozess, der auf der aufgeführten Amazon EC2-Instance oder dem aufgelisteten Amazon EC2-Container ausgeführt wird, hat Root-Rechte übernommen.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf dem aufgeführten Amazon EC2 oder in dem aufgeführten Container in Ihrer AWS Umgebung ausgeführt wird, durch eine ungewöhnliche oder verdächtige setuid Binärausführung Root-Rechte übernommen hat. Dies weist darauf hin, dass ein laufender Prozess potenziell kompromittiert wurde, und zwar für die EC2-Instance durch einen Exploit oder durch einen Exploit. setuid Mithilfe der Root-Rechte kann der Angreifer potenziell Befehle auf der Instance oder dem Container ausführen.

Es GuardDuty ist zwar so konzipiert, dass dieser Ergebnistyp nicht für Aktivitäten generiert wird, bei denen der sudo Befehl regelmäßig verwendet wird, aber es generiert dieses Ergebnis, wenn es die Aktivität als ungewöhnlich oder verdächtig einstuft.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den Kontext und generiert diesen Ergebnistyp nur, wenn die zugehörige Aktivität und der Kontext ungewöhnlich oder verdächtig sind.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Zusätzliche Informationen zum Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Discovery:Runtime/SuspiciousCommand

Ein verdächtiger Befehl wurde auf einer Amazon EC2-Instance oder in einem Container ausgeführt, der es einem Angreifer ermöglicht, Informationen über das lokale System und die Umgebung zu erhalten AWS Infrastruktur oder Container-Infrastruktur.

Standard-Schweregrad: Niedrig

Feature: Laufzeit-Überwachung

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten Amazon EC2-Instance oder dem aufgelisteten Amazon EC2-Container in Ihrer AWS Umgebung ausgeführt wird, einen Befehl ausgeführt hat, der einem Angreifer wichtige Informationen liefern könnte, um den Angriff möglicherweise voranzutreiben. Die folgenden Informationen wurden möglicherweise abgerufen:

Die Amazon EC2-Instance oder der Container, der in den Funddetails aufgeführt ist, wurde möglicherweise kompromittiert.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie sich den Ressourcentyp in den Ergebnisdetails in der GuardDuty Konsole an. Die Details zum verdächtigen Befehl finden Sie im service.runtimeDetails.context-Feld der JSON-Erkenntnisdatei. Zusätzliche Kontextinformationen, einschließlich Informationen zum Prozess und zur Prozessherkunft, sind im Ergebnis für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Persistence:Runtime/SuspiciousCommand

Ein verdächtiger Befehl wurde auf einer Amazon EC2-Instance oder in einem Container ausgeführt, sodass ein Angreifer den Zugriff und die Kontrolle in Ihrem System aufrechterhalten kann AWS Umgebung.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten Amazon EC2-Instance oder in einem Container in Ihrer AWS Umgebung ausgeführt wird, einen verdächtigen Befehl ausgeführt hat. Der Befehl installiert eine Persistenzmethode, mit der Malware ununterbrochen ausgeführt werden kann oder es einem Angreifer ermöglicht, kontinuierlich auf die potenziell gefährdete Instance oder den Container-Ressourcentyp zuzugreifen. Dies könnte möglicherweise bedeuten, dass ein Systemdienst installiert oder geändert wurde, geändert crontab wurde oder ein neuer Benutzer zur Systemkonfiguration hinzugefügt wurde.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext und generiert diesen Ergebnistyp nur, wenn die zugehörige Aktivität und der Kontext ungewöhnlich oder verdächtig sind.

Die Amazon EC2-Instance oder der Container, der in den Ermittlungsdetails aufgeführt ist, wurde möglicherweise kompromittiert.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie sich den Ressourcentyp in den Ergebnisdetails in der GuardDuty Konsole an. Die Details zum verdächtigen Befehl finden Sie im service.runtimeDetails.context-Feld der JSON-Erkenntnisdatei. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/SuspiciousCommand

Ein verdächtiger Befehl wurde auf einer Amazon EC2-Instance oder in einem Container ausgeführt, wodurch ein Angreifer seine Rechte erweitern kann.

Standard-Schweregrad: Mittel

Dieses Ergebnis informiert Sie darüber, dass ein Prozess, der auf der aufgeführten Amazon EC2-Instance oder in einem Container in Ihrer AWS Umgebung ausgeführt wird, einen verdächtigen Befehl ausgeführt hat. Der Befehl versucht, eine Rechteerweiterung durchzuführen, was es einem Gegner ermöglicht, Aufgaben mit hohen Rechten auszuführen.

GuardDuty untersucht die zugehörige Laufzeitaktivität und den zugehörigen Kontext und generiert diesen Ergebnistyp nur, wenn die zugehörige Aktivität und der Kontext ungewöhnlich oder verdächtig sind.

Die Amazon EC2-Instance oder der Container, der in den Ermittlungsdetails aufgeführt ist, wurde möglicherweise kompromittiert.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcen. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/KernelModuleLoaded

Ein Kernelmodul wurde auf eine Amazon EC2-Instance geladen, was auf einen Versuch hindeutet, Zugriff auf Kernelebene zu erhalten.

Standard-Schweregrad: Hoch

Diese Erkenntnis weist darauf hin, dass ein Kernelmodul auf die aufgelistete EC2-Instance geladen wurde. Da Kernelmodule über die höchsten Berechtigungen auf Systemebene (Ring 0) verfügen, könnte dies darauf hindeuten, dass sich ein Bedrohungsakteur Zugriff auf Kernelebene verschafft hat. Diese Zugriffsebene ermöglicht die vollständige Kontrolle über das System.

Der GuardDuty Runtime Agent überwacht Ereignisse von mehreren Ressourcen aus. Um die betroffene Ressource zu identifizieren, sehen Sie in den Ergebnisdetails in der GuardDuty Konsole den Ressourcentyp an. Falls zutreffend, ist im Ergebnis zusätzlicher Kontext, einschließlich Informationen zum Prozess und zur Prozessherkunft, für weitere Untersuchungen verfügbar.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

Persistence:Runtime/SensitiveFileModified

Diese Erkenntnis informiert Sie darüber, dass ein verdächtiger Befehl auf einer Amazon-EC2-Instance oder in einer Amazon-EC2-Instance oder in einem Container ausgeführt wurde.

Standard-Schweregrad: Mittel

Diese Erkenntnis weist darauf hin, dass eine sicherheitsrelevante Systemdatei auf einer Amazon EC2-Instance oder in einem Container verändert wurde, wodurch ein Angreifer möglicherweise dauerhafte Ausführungsrechte auf dem System erlangen könnte. Dies könnte die Installation neuer SSH-Schlüsseldateien, Änderungen an Benutzerkonfigurationsdateien, Änderungen an Passwort- oder Shadow-Dateien, die Erstellung von geplanten Aufgaben, die Manipulation von Systemstartskripten oder die Änderung von ausführbaren Dateien oder Skriptdateien durch Webdienstprozesse in verdächtigen Kontexten umfassen. Diese Änderungen sind Anzeichen für eine Kompromittierung, die eine unbefugte Persistenz in Ihrer Umgebung ermöglichen könnten.

GuardDuty überwacht sicherheitsrelevante Systemdateien, die häufig von Gegnern angegriffen werden, um deren Persistenz zu gewährleisten. Da diese Dateien auch während der legitimen Systemadministration und -verwaltung geändert werden können, werden die zugehörigen Laufzeitaktivitäten und der Kontext GuardDuty untersucht, um diese Ergebnisse nur dann zu generieren, wenn Änderungen mit anderen verdächtigen Aktivitäten korrelieren.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Das Feld service.runtimeDetails.context enthält Details zur verdächtigen Dateiänderung, darunter den Dateipfad und die Art der Operation.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

PrivilegeEscalation:Runtime/SensitiveFileModified

Eine sicherheitsrelevante Systemdatei wurde auf einer Amazon EC2-Instance oder in einem Container verändert, wodurch ein Angreifer möglicherweise in die Lage versetzt wird, seine Berechtigungen zu erweitern.

Standard-Schweregrad: Mittel

Diese Erkenntnis weist darauf hin, dass eine sicherheitsrelevante Systemdatei auf einer Amazon EC2-Instance oder in einem Container verändert wurde, wodurch ein Angreifer möglicherweise in die Lage versetzt wird, seine Berechtigungen auf dem System zu erweitern. Dies könnte Änderungen an sicherheitskritischen Dateien wie der sudoers-Konfiguration, den PAM-Einstellungen oder den Systemauthentifizierungsdateien beinhalten. Diese Änderungen sind Anzeichen für eine Kompromittierung, die eine unbefugte Ausweitung von Berechtigungen ermöglichen könnten, was möglicherweise zu unbefugtem Root-Zugriff, geschwächten Authentifizierungsmechanismen oder beeinträchtigten Sicherheitskontrollen führen könnte.

GuardDuty überwacht sicherheitsrelevante Systemdateien, die häufig von Gegnern zur Rechteerweiterung ins Visier genommen werden. Da diese Dateien auch während der legitimen Systemadministration und -verwaltung geändert werden können, werden die zugehörigen Laufzeitaktivitäten und der Kontext GuardDuty untersucht, um diese Ergebnisse nur dann zu generieren, wenn Änderungen mit anderen verdächtigen Aktivitäten korrelieren.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Das Feld service.runtimeDetails.context enthält Details zur verdächtigen Dateiänderung, darunter den Dateipfad und die Art der Operation.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.

DefenseEvasion:Runtime/SensitiveFileModified

Eine sicherheitsrelevante Systemdatei wurde auf einer Amazon EC2-Instance oder in einem Container verändert, wodurch ein Angreifer möglicherweise die Erkennung umgehen könnte.

Standard-Schweregrad: Mittel

Diese Erkenntnis weist darauf hin, dass eine sicherheitsrelevante Systemdatei auf einer Amazon EC2-Instance oder in einem Container verändert wurde, wodurch ein Angreifer möglicherweise die Erkennung durch das System umgehen könnte. Dies könnte Änderungen an Systemprotokolldateien, Audit-Konfigurationen, Befehlsverlaufsdateien oder Systemprotokollen umfassen. Diese Änderungen sind Anzeichen für eine Kompromittierung, die die Verschleierung unbefugter Aktivitäten, die Störung der Sicherheitsüberwachung oder die Beseitigung von Beweisen für Systemaktivitäten ermöglichen könnten.

GuardDuty überwacht sicherheitsrelevante Systemdateien, die häufig von Gegnern angegriffen werden, um die Verteidigung zu umgehen. Da diese Dateien auch während der legitimen Systemadministration und -verwaltung geändert werden können, werden die zugehörigen Laufzeitaktivitäten und der Kontext GuardDuty untersucht, um diese Ergebnisse nur dann zu generieren, wenn Änderungen mit anderen verdächtigen Aktivitäten korrelieren.

Der GuardDuty Runtime Agent überwacht Ereignisse aus mehreren Ressourcentypen. Um die potenziell gefährdete Ressource zu identifizieren, sehen Sie in der GuardDuty Konsole im Ergebnisbereich unter Ressourcentyp nach. Das Feld service.runtimeDetails.context enthält Details zur verdächtigen Dateiänderung, darunter den Dateipfad und die Art der Operation.

Empfehlungen zur Abhilfe:

Wenn solche Aktivitäten unerwartet auftreten, kann Ihre Ressource kompromittiert sein. Weitere Informationen finden Sie unter Korrigieren von Erkenntnissen der Laufzeitüberwachung.