View a markdown version of this page

Détails d'un résultat - Amazon GuardDuty
Présentation des résultatsRessourceDétails de la recherche de la séquence d'attaqueRègles de détection personnalisées pour trouver des détailsDétails de l'utilisateur de base de données (DB) RDSSurveillance d’exécution : détails des résultatsDétails de l'analyse des volumes EBSInformations sur la recherche de Malware Protection for EC2Informations sur la recherche effectuée par la protection contre les logiciels malveillants pour S3ActionActeur ou cibleDétails de géolocalisationInformations supplémentairesPreuveComportement anormal

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Détails d'un résultat

Dans la GuardDuty console Amazon, vous pouvez consulter les détails de vos recherches dans la section Récapitulatif des recherches. Les détails des résultats varient en fonction du type de résultat.

Deux détails principaux permettent de déterminer les types d'information disponibles pour tout résultat. Le premier est le type de ressource, qui peut être Instance AccessKeyS3Bucket,S3Object, Kubernetes clusterECS cluster,Container,RDSDBInstance,RDSLimitlessDB, ouLambda. Le deuxième détail qui détermine les informations d'un résultat est le rôle de la ressource. Le rôle de la ressource peut êtreTarget, ce qui signifie que la ressource a été la cible d'une activité suspecte. Pour les résultats du type d'instance, le rôle de la ressource peut également être Actor, ce qui signifie que votre ressource était l'acteur à l'origine de l'activité suspecte. Cette rubrique décrit certains des détails les plus fréquemment disponibles en matière de résultats. Pour GuardDuty Types de résultats de surveillance de l'exécution etProtection contre les programmes malveillants pour le type de recherche S3, le rôle de ressource n'est pas renseigné.

Présentation des résultats

La section Présentation d'un résultat contient les fonctionnalités d'identification les plus élémentaires du résultat, notamment les informations suivantes :

  • ID du compte  : identifiant du AWS compte sur lequel s'est déroulée l'activité qui a incité GuardDuty à générer ce résultat.

  • Nombre  : nombre de fois GuardDuty qu'une activité correspondant à ce modèle a été agrégée avec cet identifiant de découverte.

  • Créé à : heure et date de création de ce résultat. Si cette valeur diffère de la valeur Mise à jour à, cela indique que l'activité s'est produite plusieurs fois et qu'il s'agit d'un problème continu.

    Note

    Les horodatages des résultats de la GuardDuty console apparaissent dans votre fuseau horaire local, tandis que les exportations JSON et les sorties CLI affichent des horodatages en UTC.

  • ID de résultat : identifiant unique pour ce type de résultat et ensemble de paramètres. Les nouvelles occurrences d'activité correspondant à ce modèle seront regroupées sous le même ID.

  • Type de résultat : chaîne formatée représentant le type d'activité qui a déclenché le résultat. Pour de plus amples informations, veuillez consulter GuardDuty format de recherche.

  • Région  : AWS région dans laquelle le résultat a été généré. Pour de plus amples informations sur les régions prises en charge, veuillez consulter Régions et points de terminaison.

  • ID de ressource  : ID de la AWS ressource sur laquelle s'est déroulée l'activité qui a incité GuardDuty à générer cette découverte.

  • ID de scan  : applicable aux détections lorsque la protection contre les GuardDuty programmes malveillants pour EC2 est activée, il s'agit d'un identifiant de l'analyse des programmes malveillants qui s'exécute sur les volumes EBS attachés à l'instance EC2 ou à la charge de travail du conteneur potentiellement compromise. Pour de plus amples informations, veuillez consulter Informations sur la recherche de Malware Protection for EC2.

  • Gravité  : niveau de gravité attribué à un résultat : critique, élevé, moyen ou faible. Pour de plus amples informations, veuillez consulter Niveaux de gravité des résultats.

  • Mis à jour le  : dernière fois que ce résultat a été mis à jour avec une nouvelle activité correspondant au modèle qui a incité GuardDuty à générer ce résultat.

Ressource

La ressource concernée fournit des détails sur la AWS ressource qui a été ciblée par l'activité initiatrice. Les informations disponibles varient selon le type de ressource et le type d'action.

Rôle de la ressource  : rôle de la AWS ressource à l'origine de la découverte. Cette valeur peut être CIBLE ou ACTEUR, et indique si votre ressource était la cible de l'activité suspecte ou l'acteur qui a effectué l'activité suspecte.

Type de ressource : type de la ressource affectée. Si plusieurs ressources étaient impliquées, un résultat peut inclure plusieurs types de ressource. Les types de ressources sont Instance, S3Bucket AccessKey, S3Object, ECSCluster, Container, RDSDBInstance KubernetesCluster , RDSLimitlessDB et Lambda. Selon le type de ressource, différents détails de résultats sont disponibles. Sélectionnez un onglet d'option de ressource pour en savoir plus sur les détails disponibles pour cette ressource.

Instance

Détails de l'instance :

Note

Certains détails de l'instance peuvent être manquants si l'instance a déjà été arrêtée ou si l'invocation d'API sous-jacente provient d'une instance EC2 d'une autre région lors d'un appel d'API entre régions.

  • ID d'instance  : ID de l'instance EC2 impliquée dans l'activité qui a incité GuardDuty à générer le résultat.

  • Type d'instance : type de l'instance EC2 impliquée dans le résultat.

  • Heure de lancement : date et heure auxquelles l'instance a été lancée.

  • Outpost ARN  : nom de ressource Amazon (ARN) de AWS Outposts. Applicable uniquement aux AWS Outposts instances. Pour plus d'informations, voir Qu'est-ce que c'est AWS Outposts ? dans le Guide de l'utilisateur des racks Outposts.

  • Nom du groupe de sécurité : nom du groupe de sécurité attaché à l'instance concernée.

  • ID du groupe de sécurité : ID du groupe de sécurité attaché à l'instance concernée.

  • État de l'instance : état actuel de l'instance ciblée.

  • Zone de disponibilité : zone de disponibilité de la Région AWS dans laquelle se trouve l'instance concernée.

  • ID de l'image : ID de l'Amazon Machine Image utilisée pour créer l'instance impliquée dans l'activité.

  • Description de l'image : description de l'ID de l'Amazon Machine Image utilisée pour créer l'instance impliquée dans l'activité.

  • Balises : liste des balises attachées à cette ressource, répertoriées au format key:value.

AccessKey

Détails de la clé d'accès :

  • ID de clé d'accès  : ID de clé d'accès de l'utilisateur ayant participé à l'activité qui l'a incité GuardDuty à générer le résultat.

  • ID principal  : identifiant principal de l'utilisateur ayant participé à l'activité qui l'a incité GuardDuty à générer le résultat.

  • Type d'utilisateur  : type d'utilisateur ayant participé à l'activité qui l'a incité GuardDuty à générer le résultat. Pour de plus amples informations, veuillez consulter Élément CloudTrail userIdentity.

  • Nom d'utilisateur  : nom de l'utilisateur participant à l'activité qui l'a incité GuardDuty à générer le résultat.

S3Bucket

Détails du compartiment Amazon S3 :

  • Nom : nom du compartiment impliqué dans le résultat.

  • ARN : ARN du compartiment impliqué dans le résultat.

  • Propriétaire : ID utilisateur canonique de l'utilisateur propriétaire du compartiment impliqué dans le résultat. Pour de plus amples informations sur l'ID d'utilisateur canonique, veuillez consulter Identificateurs de compte AWS.

  • Type : le type de résultat de compartiment peut être Destination ou Source.

  • Détails du chiffrement côté serveur par défaut : détails du chiffrement pour le compartiment.

  • Balises de compartiment : liste des balises attachées à cette ressource, répertoriées au format key:value.

  • Autorisations effectives : évaluation de toutes les autorisations et stratégies effectives sur le compartiment qui indique si le compartiment impliqué est exposé publiquement. Les valeurs peuvent être Publique ou Non publique.

S3Object

  • Détails de l'objet S3  : inclut les informations suivantes concernant l'objet S3 scanné :

    • ARN  : nom de ressource Amazon (ARN) de l'objet S3 scanné.

    • Clé  : nom attribué au fichier lors de sa création dans le compartiment S3.

    • ID de version  : lorsque vous avez activé la gestion des versions des compartiments, ce champ indique l'ID de version associé à la dernière version de l'objet S3 scanné. Pour plus d'informations, consultez la section Utilisation de la gestion des versions dans les compartiments S3 dans le guide de l'utilisateur Amazon S3.

    • ETag  : représente la version spécifique de l'objet S3 scanné.

    • Hash  : hachage de la menace détectée dans cette découverte.

  • Détails du compartiment S3  : inclut les informations suivantes concernant le compartiment Amazon S3 associé à l'objet S3 scanné :

    • Nom  : indique le nom du compartiment S3 qui contient l'objet.

    • ARN  : nom de ressource Amazon (ARN) du compartiment S3.

  • Propriétaire  : identifiant canonique du propriétaire du compartiment S3.

EKSCluster

Détails du cluster Kubernetes :

  • Nom : nom du cluster Kubernetes.

  • ARN : l'ARN qui identifie le cluster.

  • Créé à : heure et date de création de ce cluster.

    Note

    Les horodatages des résultats de la GuardDuty console apparaissent dans votre fuseau horaire local, tandis que les exportations JSON et les sorties CLI affichent des horodatages en UTC.

  • ID de VPC : ID du VPC associé à votre cluster.

  • État : extrait l'état actuel du cluster.

  • Balises : métadonnées que vous appliquez au cluster pour faciliter le classement et l'organisation. Chaque balise est constituée d'une clé et d'une valeur facultative, répertoriées au format key:value. Vous pouvez définir à la fois la clé et la valeur.

    Les balises de cluster ne sont pas propagées vers les autres ressources associées au cluster.

Détails de la charge de travail Kubernetes :

  • Type : type de charge de travail Kubernetes, tel que le pod, le déploiement et la tâche.

  • Nom : nom de la charge de travail Kubernetes.

  • Uid : identifiant unique de la charge de travail Kubernetes.

  • Créé à : heure et date de création de cette charge de travail.

  • Étiquettes : paires clé-valeur attachées à la charge de travail Kubernetes.

  • Conteneurs : détails du conteneur exécuté dans le cadre de la charge de travail de Kubernetes.

  • Espace de noms : la charge de travail appartient à cet espace de noms Kubernetes.

  • Volumes : volumes utilisés par la charge de travail Kubernetes.

    • Chemin d'accès de l'hôte : représente un fichier ou un répertoire préexistant sur la machine hôte vers lequel le volume est mappé.

    • Nom : nom du volume.

  • Contexte de sécurité du pod : définit les paramètres de contrôle des privilèges et des accès pour tous les conteneurs d'un pod.

  • Réseau hôte : définissez sur true si les pods sont inclus dans la charge de travail Kubernetes.

Informations utilisateur Kubernetes :

  • Groupes : groupes de RBAC (contrôle basé sur l'accès aux rôles) de Kubernetes de l'utilisateur qui participe à l'activité qui a généré le résultat.

  • ID : ID unique de l'utilisateur Kubernetes.

  • Nom d'utilisateur : nom de l'utilisateur Kubernetes qui participe à l'activité à l'origine du résultat.

  • Nom de session : entité qui a assumé le rôle IAM avec les autorisations RBAC de Kubernetes.

ECSCluster

Détails du cluster ECS :

  • ARN : l'ARN qui identifie le cluster.

  • Nom : nom du cluster.

  • État : extrait l'état actuel du cluster.

  • Nombre de services actifs : nombre de services exécutés sur le cluster à l'état ACTIVE. Vous pouvez consulter ces services avec ListServices

  • Nombre d'instances de conteneur enregistrées : nombre d'instances de conteneur enregistrées dans le cluster. Cela inclut les instances de conteneur à la fois à l'état ACTIVE et DRAINING.

  • Nombre de tâches en cours : nombre de tâches du cluster qui sont à l'état RUNNING.

  • Balises : métadonnées que vous appliquez au cluster pour faciliter le classement et l'organisation. Chaque balise est constituée d'une clé et d'une valeur facultative, répertoriées au format key:value. Vous pouvez définir à la fois la clé et la valeur.

  • Conteneurs : détails sur le conteneur associé à la tâche :

    • Nom de conteneur : nom du conteneur.

    • Image de conteneur : image du conteneur.

  • Détails de la tâche : détails d'une tâche dans un cluster.

    • ARN : Amazon Resource Name (ARN) de la tâche.

    • ARN de la définition : Amazon Resource Name (ARN) de la définition de tâche qui crée la tâche.

    • Version : compteur de version de la tâche.

    • Tâche créée à : horodatage Unix lors de la création de la tâche.

    • Tâche démarrée à : horodatage Unix lors du démarrage d'une tâche.

    • Tâche démarrée par : balise spécifiée lors du démarrage d'une tâche.

Container

Détails du conteneur :

  • Exécution du conteneur : exécution du conteneur (comme docker ou containerd) utilisé pour exécuter le conteneur.

  • ID : ID de l'instance de conteneur ou entrées ARN complètes pour l'instance de conteneur.

  • Nom : nom du conteneur.

  • Image : image de l'instance de conteneur.

  • Montages de volume : liste des montages de volume de conteneurs. Un conteneur peut monter un volume sous son système de fichiers.

  • Contexte de sécurité : le contexte de sécurité du conteneur définit les paramètres de contrôle de privilèges et d'accès pour un conteneur.

  • Détails du processus : décrit les détails du processus associé au résultat.

RDSDBInstance

Détails de l'instance RDSDB :

Note

Cette ressource est disponible dans les résultats de protection RDS relatifs à l'instance de base de données.

  • ID d'instance de base de données  : identifiant associé à l'instance de base de données impliquée dans la GuardDuty découverte.

  • Moteur : nom du moteur de base de données de l'instance de base de données impliquée dans le résultat. Les valeurs possibles sont Aurora MySQL-Compatible ou Aurora PostgreSQL-Compatible.

  • Version du moteur  : version du moteur de base de données impliqué dans la GuardDuty découverte.

  • ID du cluster de base de données  : identifiant du cluster de bases de données qui contient l'ID d'instance de base de données impliqué dans la GuardDuty recherche.

  • ARN de l'instance de base de données  : l'ARN qui identifie l'instance de base de données impliquée dans la GuardDuty recherche.

RDSLimitlessDB

Détails de RDSLimitlessDB :

Cette ressource est disponible dans les résultats de RDS Protection relatifs à la version du moteur prise en charge de Limitless Database.

  • Identifiant du groupe de partitions de base de données  : nom associé au groupe de partitions de base de données Limitless.

  • ID de ressource du groupe de partitions de base de données  : identifiant de ressource du groupe de partitions de base de données au sein de la base de données Limitless.

  • ARN du groupe de partitions de base de données  : nom de ressource Amazon (ARN) qui identifie le groupe de partitions de base de données.

  • Moteur  : identifiant de la base de données Limitless impliquée dans la découverte.

  • Version du moteur  : version du moteur de base de données Limitless.

  • Identifiant du cluster de bases de données  : nom du cluster de bases de données qui fait partie de la base de données Limitless.

Pour plus d'informations sur les informations relatives à l'utilisateur et à l'authentification de la base de données potentiellement affectée, consultezDétails de l'utilisateur de base de données (DB) RDS.

Lambda
Détails de la fonction Lambda

  • Nom de la fonction : nom de la fonction Lambda impliquée dans le résultat.

  • Version de la fonction : version de la fonction Lambda impliquée dans le résultat.

  • Description de la fonction : description de la fonction Lambda impliquée dans le résultat.

  • ARN de fonction : Amazon Resource Name (ARN) de la fonction Lambda impliquée dans le résultat.

  • ID de révision : ID de révision de la version de la fonction Lambda.

  • Rôle : rôle d'exécution de la fonction Lambda impliquée dans le résultat.

  • Configuration de VPC : configuration d'Amazon VPC, y compris l'ID VPC, le groupe de sécurité et les ID de sous-réseau associés à votre fonction Lambda.

    • ID de VPC : ID d'Amazon VPC associé à la fonction Lambda impliquée dans le résultat.

    • ID de sous-réseau : ID des sous-réseaux associés à votre fonction Lambda.

    • Groupe de sécurité : groupe de sécurité attaché à la fonction Lambda concernée. Cela inclut le nom et l'ID du groupe de sécurité.

  • Balises : liste des balises attachées à cette ressource, répertoriées au format de paire key:value.

Détails de la recherche de la séquence d'attaque

GuardDuty fournit des détails pour chaque découverte qu'il génère sur votre compte. Ces informations vous aident à comprendre les raisons de cette découverte. Cette section se concentre sur les détails associés àTypes de détection de séquences d'attaques. Cela inclut des informations telles que les ressources potentiellement touchées, la chronologie des événements, les indicateurs, les signaux et les paramètres impliqués dans la découverte.

Pour afficher les détails associés aux signaux qui sont des GuardDuty résultats, consultez les sections associées de cette page.

Dans la GuardDuty console, lorsque vous sélectionnez la recherche d'une séquence d'attaque, le panneau latéral des détails est divisé en onglets suivants :

  • Vue d'ensemble  : fournit une vue compacte des détails de la séquence d'attaque, y compris les signaux, les tactiques MITRE et les ressources potentiellement touchées.

  • Signaux  : affiche la chronologie des événements impliqués dans une séquence d'attaque.

  • Ressources — Fournit des informations sur les ressources susceptibles d'être touchées ou les ressources potentiellement menacées.

La liste suivante fournit des descriptions associées aux détails de recherche de la séquence d'attaque.

Signaux

Un signal peut être une activité d'API ou une découverte GuardDuty utilisée pour détecter la découverte d'une séquence d'attaque. GuardDuty prend en compte les signaux faibles qui ne se présentent pas comme une menace claire, les regroupe et les met en corrélation avec les résultats générés individuellement. Pour plus de contexte, l'onglet Signaux fournit une chronologie des signaux, tels qu'observés par GuardDuty.

Chaque signal, c'est-à-dire un GuardDuty résultat, possède son propre niveau de gravité et une valeur qui lui est attribuée. Dans la GuardDuty console, vous pouvez sélectionner chaque signal pour afficher les détails associés.

Acteurs

Fournit des informations sur les acteurs de la menace participant à une séquence d'attaque. Pour plus d'informations, consultez la section Actor in Amazon GuardDuty API Reference.

Points de terminaison

Fournit des détails sur les points de terminaison du réseau qui ont été utilisés dans cette séquence d'attaque. Pour plus d'informations, consultez NetworkEndpoint la section Amazon GuardDuty API Reference. Pour plus d'informations sur la façon GuardDuty dont la localisation est déterminée, consultezDétails de géolocalisation.

Indicateurs

Inclut les données observées qui correspondent au schéma d'un problème de sécurité. Ces données indiquent pourquoi il GuardDuty existe une indication d'une activité potentiellement suspecte. Par exemple, lorsque le nom de l'indicateur estHIGH_RISK_API, cela indique une action couramment utilisée par les acteurs de la menace, ou une action sensible susceptible d'avoir un impact potentiel sur une action Compte AWS, telle que l'accès à des informations d'identification ou la modification d'une ressource.

Le tableau suivant contient une liste d'indicateurs potentiels et leurs descriptions :

Nom de l'indicateur Description

ATTACK_TACTIC

La tactique MITRE utilisée par l'auteur de la menace dans une séquence d'attaque. Les exemples incluent Discovery et Impact.

ATTACK_TECHNIQUE

Technique MITRE utilisée par l'auteur de la menace dans une séquence d'attaque. Les exemples incluent l'accès à des ressources et leur utilisation involontaire, ainsi que l'exploitation des vulnérabilités.

CRYPTOMINING_DOMAIN

Indique un nom de domaine associé à des pools ou à une infrastructure de minage de cryptomonnaies. Par exemple, des requêtes DNS ou des connexions à ces domaines depuis des environnements de conteneurs ou Kubernetes peuvent indiquer une activité de minage de cryptomonnaie non autorisée.

CRYPTOMINING_IP

Indique une adresse IP associée à des pools ou à une infrastructure de minage de cryptomonnaies. Par exemple, les connexions à ces adresses depuis des environnements de conteneurs ou Kubernetes peuvent indiquer une activité de minage de cryptomonnaie non autorisée.

CRYPTOMINING_PROCESS

Indique un processus identifié comme un logiciel d'extraction de cryptomonnaies exécuté dans des environnements de conteneurs ou Kubernetes. Par exemple, ces processus peuvent consommer des ressources CPU excessives.

HIGH_RISK_API

L' AWS API qui inclut le Service AWS nom et eventName indique une action couramment utilisée par les acteurs de la menace, ou qui est une action sensible susceptible d'avoir un impact potentiel sur une action Compte AWS, telle que l'accès aux informations d'identification ou la modification de ressources.

MALICIOUS_DOMAIN

Indique un nom de domaine dont les renseignements sur les menaces sont soupçonnés d'indiquer une intention malveillante. Cela inclut par exemple les serveurs de commande et de contrôle (C&C), les sites de distribution de logiciels malveillants ou les domaines de phishing contactés depuis des environnements de conteneurs ou Kubernetes.

MALICIOUS_FILE

Indique un fichier suspecté d'être malveillant sur la base de renseignements sur les menaces ou d'une analyse comportementale. Cela inclut, par exemple, les fichiers binaires de malwares connus, les scripts malveillants ou les exécutables non autorisés.

MALICIOUS_IP

L'adresse IP contient des informations sur les menaces confirmées indiquant une intention malveillante.

MALICIOUS_PACKAGE

Indique qu'une ressource impliquée dans la séquence d'attaque contient un package logiciel identifié comme malveillant. Les valeurs des indicateurs incluent des identificateurs de packages malveillants utilisant la désignation OSV (MAL-*) associée aux packages détectés.

MALICIOUS_PROCESS

Indique un processus suspecté d'être malveillant sur la base de renseignements sur les menaces ou d'une analyse comportementale. Cela inclut, par exemple, les malwares connus, les portes dérobées ou les outils non autorisés qui s'exécutent au sein d'une instance ou d'un environnement de conteneurs.

MISCONFIGURATION

Indique qu'une ressource impliquée dans la séquence d'attaque présente une mauvaise configuration de sécurité susceptible d'augmenter l'impact potentiel. Les exemples incluent les politiques d'accès administratif, la désactivation de la gestion des versions ou l'absence de chiffrement. Ces erreurs de configuration sont identifiées par AWS Security Hub CSPM. Pour plus d'informations, consultez la section Types de traits pris en charge dans le Guide de AWS Security Hub CSPM l'utilisateur.

REACHABILITY

Indique qu'une ressource impliquée dans la séquence d'attaque est accessible depuis Internet ou accessible au public. Les exemples incluent les instances Amazon EC2 accessibles sur Internet, les clusters Amazon EKS, les clusters Amazon ECS ou les compartiments Amazon S3 accessibles au public. Pour plus d'informations, consultez la section Types de traits pris en charge dans le Guide de AWS Security Hub CSPM l'utilisateur.

SENSITIVE_DATA

Indique qu'un compartiment Amazon S3 impliqué dans la séquence d'attaque contient des données sensibles, telles qu'identifiées par Amazon Macie via AWS Security Hub CSPM.

SUSPICIOUS_NETWORK

Le réseau est associé à de faibles scores de réputation connus, tels que des fournisseurs de réseaux privés virtuels (VPN) et des services proxy risqués.

SUSPICIOUS_PROCESS

Indique un processus suspect identifié comme anormal sur la base de renseignements sur les menaces ou d'une analyse comportementale. Cela inclut, par exemple, des modèles d'exécution de processus inhabituels, des relations parent-enfant inattendues ou des processus présentant des caractéristiques suspectes au sein d'une instance ou d'un environnement de conteneurs.

SUSPICIOUS_USER_AGENT

L'agent utilisateur est associé à des applications suspectes ou exploitées potentiellement connues, telles que des clients Amazon S3 et des outils d'attaque.

TOR_IP

L'adresse IP est associée à un nœud de sortie Tor.

UNUSUAL_API_FOR_ACCOUNT

Indique que l' AWS API a été invoquée de manière anormale, sur la base de l'historique du compte. Pour de plus amples informations, veuillez consulter Comportement anormal.

UNUSUAL_ASN_FOR_ACCOUNT

Indique que le numéro de système autonome (ASN) a été identifié comme étant anormal, sur la base de référence historique du compte. Pour de plus amples informations, veuillez consulter Comportement anormal.

UNUSUAL_ASN_FOR_USER

Indique que le numéro de système autonome (ASN) a été identifié comme anormal, sur la base de l'historique de référence de l'utilisateur. Pour de plus amples informations, veuillez consulter Comportement anormal.

VULNERABILITY

Indique qu'une ressource impliquée dans la séquence d'attaque présente des vulnérabilités connues de gravité critique, élevée, moyenne ou faible. Les valeurs des indicateurs incluent les identifiants CVE et leurs niveaux de gravité. Ces vulnérabilités sont détectées par Amazon Inspector et peuvent augmenter l'impact potentiel de la séquence d'attaque. Pour plus d'informations sur les niveaux de gravité, consultez la section Comprendre les niveaux de gravité dans le guide de l'utilisateur Amazon Inspector.

Tactiques MITRE

Ce champ spécifie les tactiques MITRE ATT&CK que l'acteur de la menace tente par le biais d'une séquence d'attaque. GuardDuty utilise le framework MITRE ATT&ACK qui ajoute du contexte à l'ensemble de la séquence d'attaque. Les couleurs utilisées par la GuardDuty console pour spécifier les objectifs de menace utilisés par l'auteur de la menace sont alignées sur les couleurs qui indiquent les niveaux critique, élevé, moyen et faibleNiveaux de gravité des résultats.

Indicateurs de réseau

Les indicateurs comprennent une combinaison de valeurs d'indicateurs de réseau qui expliquent pourquoi un réseau indique un comportement suspect. Cette section s'applique uniquement lorsque l'indicateur inclut SUSPICIOUS_NETWORK ouMALICIOUS_IP. L'exemple suivant montre comment les indicateurs de réseau peuvent être associés à un indicateur, où :

  • AnyCompanyest un système autonome (AS).

  • TUNNEL_VPNIS_ANONYMOUS, et ALLOWS_FREE_ACCESS sont les indicateurs du réseau. 

...{
    "key": "SUSPICIOUS_NETWORK",
    "values": [{
        "AnyCompany": [
            "TUNNEL_VPN",
            "IS_ANONYMOUS",
            "ALLOWS_FREE_ACCESS"
        ]
    }]
}
...

Le tableau suivant inclut les valeurs des indicateurs de réseau et leur description. Ces balises sont ajoutées en fonction des renseignements sur les menaces GuardDuty collectés auprès de sources telles que Spur.

Valeur de l'indicateur réseau Description

TUNNEL_VPN

L'adresse réseau ou IP est associée à un type de tunnel VPN. Il s'agit d'un protocole spécifique qui permet d'établir une connexion sécurisée et cryptée entre deux points sur un réseau public.

TUNNEL_PROXY

L'adresse réseau ou IP est associée à un type de tunnel proxy. Il s'agit d'un protocole spécifique qui permet d'établir une connexion via un serveur proxy.

TUNNEL_RDP

L'adresse réseau ou IP est associée à l'utilisation d'une méthode d'encapsulation du trafic de bureau à distance (RDP) dans un autre protocole afin d'améliorer la sécurité, de contourner les restrictions réseau ou de permettre l'accès à distance via des pare-feux.

IS_ANONYMOUS

L'adresse réseau ou IP est associée à un service anonyme ou proxy connu. Cela peut indiquer des activités suspectes potentielles qui se cachent derrière des réseaux anonymes.

KNOWN_THREAT_OPERATOR

L'adresse réseau ou IP est associée à un fournisseur de tunnel connu pour ses risques. Cela indique qu'une activité suspecte a été détectée à partir d'une adresse IP liée à un VPN, à un proxy ou à d'autres services de tunneling fréquemment utilisés à des fins malveillantes.

ALLOWS_FREE_ACCESS

L'adresse réseau ou IP est associée à un opérateur de tunnel qui autorise l'accès à son service sans nécessiter d'authentification ni de paiement. Cela peut également inclure des comptes d'essai ou des expériences d'utilisation limitées proposées par divers services en ligne.

ALLOWS_CRYPTO

L'adresse réseau ou IP est associée à un fournisseur de tunnel (tel qu'un VPN ou un service proxy) qui accepte exclusivement les cryptomonnaies ou d'autres devises numériques comme mode de paiement.

ALLOWS_TORRENTS

L'adresse réseau ou IP est associée à des services ou à des plateformes qui autorisent le trafic torrent. Ces services sont souvent associés au soutien et à l'utilisation de torrents et à des activités de contournement du droit d'auteur.

RISK_CALLBACK_PROXY

L'adresse réseau ou IP est associée à des appareils connus pour acheminer le trafic vers des proxys résidentiels, des proxys malveillants ou d'autres réseaux de type proxy de rappel. Cela ne signifie pas que toutes les activités sur le réseau sont liées au proxy, mais plutôt que le réseau a la capacité d'acheminer le trafic pour le compte de ces réseaux proxy.

RISK_GEO_MISMATCH

Cet indicateur suggère que l'emplacement du centre de données ou de l'hébergement d'un réseau diffère de l'emplacement attendu des utilisateurs et des appareils situés derrière celui-ci. Si cette valeur d'indicateur n'est pas présente, cela ne signifie pas qu'il n'y a pas de décalage. Cela peut impliquer que les données sont insuffisantes pour confirmer l'écart.

IS_SCANNER

L'adresse réseau ou IP est associée à des tentatives de connexion persistantes sur des formulaires Web.

RISK_WEB_SCRAPING

Le réseau d'adresses IP est associé à des clients Web automatisés et à d'autres activités Web programmatiques.

CLIENT_BEHAVIOR_FILE_SHARING

L'adresse réseau ou IP est associée au comportement du client indiquant des activités de partage de fichiers, telles que les réseaux peer-to-peer (P2P) ou les protocoles de partage de fichiers.

CATEGORY_COMMERCIAL_VPN

L'adresse réseau ou IP est associée à un opérateur de tunnel classé comme un service de réseau privé virtuel (VPN) commercial traditionnel opérant dans l'espace du centre de données.

CATEGORY_FREE_VPN

L'adresse réseau ou IP est associée à un opérateur de tunnel classé dans la catégorie des services VPN totalement gratuits.

CATEGORY_RESIDENTIAL_PROXY

L'adresse réseau ou IP est associée à un opérateur de tunnel classé comme un SDK, un logiciel malveillant ou un service proxy payant.

OPERATOR_XXX

Le nom du fournisseur de services qui gère ce tunnel.

Règles de détection personnalisées pour trouver des détails

Les résultats des règles de détection personnalisées utilisent la même Service.Detection.Sequence structure queDétails de la recherche de la séquence d'attaque. Les champs Acteurs, Endpoints, Ressources et Signaux partagent le même schéma. Cette section décrit les différences spécifiques aux résultats des règles de détection personnalisées.

Type

Le type de recherche suit le formatTactic:Service/Technique. Par exemple, Persistence:EC2/ExternalRemoteServices.

Signaux

Chaque signal représente un seul événement de règle correspondant. Le Name champ contient le nom des règles de détection personnalisées, ainsi SignalIndicators que la tactique et la technique MITRE ATT&CK®. Plusieurs signaux avec la même règle peuvent apparaître lorsque la règle correspond à plusieurs événements dans la fenêtre d'agrégation.

Acteurs

Informations détaillées sur les principaux IAM qui ont effectué l'activité détectée. Inclut le type d'utilisateur (tel que AssumedRole ouIAMUser), les informations d'identification et les détails de la session, y compris l'ARN du rôle émetteur et le statut MFA.

Ressources

Informations sur les AWS ressources impliquées dans l'activité détectée, le cas échéant, telles que les instances Amazon EC2, les compartiments Amazon S3 ou les clés d'accès IAM.

Points de terminaison

Informations sur les points de terminaison du réseau à l'origine de l'activité. Comprend l'adresse IP, l'emplacement géographique (ville et pays), ainsi que le nom et le numéro du système autonome (AS).

Détails de l'utilisateur de base de données (DB) RDS

Note

Cette section s'applique aux résultats obtenus lorsque vous activez la fonctionnalité de protection RDS dans GuardDuty. Pour de plus amples informations, veuillez consulter GuardDuty Protection RDS.

La GuardDuty découverte fournit les informations d'utilisateur et d'authentification suivantes concernant la base de données potentiellement compromise :

  • Utilisateur : nom d'utilisateur utilisé pour effectuer la tentative de connexion anormale.

  • Application : nom de l'application servant à effectuer la tentative de connexion anormale.

  • Base de données : nom de l'instance de base de données impliquée dans la tentative de connexion anormale.

  • SSL : version du protocole SSL (Secure Socket Layer) utilisée pour le réseau.

  • Méthode d'authentification : méthode d'authentification utilisée par l'utilisateur impliqué dans le résultat.

Pour plus d'informations sur la ressource potentiellement compromise, consultezRessource.

Surveillance d’exécution : détails des résultats

Note

Ces informations peuvent être disponibles uniquement si elles GuardDuty génèrent l'un desGuardDuty Types de résultats de surveillance de l'exécution.

Cette section contient les détails de l'exécution, tels que les détails du processus et tout contexte requis. Les détails du processus décrivent des informations sur le processus observé, et le contexte d'exécution décrit toute information supplémentaire concernant l'activité potentiellement suspecte.

Détails du processus

  • Nom : nom du processus.

  • Chemin exécutable : chemin absolu du fichier exécutable du processus.

  • Exécutable SHA-256  : SHA256 hachage de l'exécutable du processus.

  • PID de l'espace de noms : ID du processus dans un espace de noms PID secondaire différent de l'espace de noms PID au niveau de l'hôte. Pour les processus se trouvant à l'intérieur d'un conteneur, il s'agit de l'ID de processus observé à l'intérieur du conteneur.

  • Répertoire de travail actuel : répertoire de travail actuel du processus.

  • ID de processus : ID attribué au processus par le système d'exploitation.

  • startTime : heure à laquelle le processus a démarré. Ce champ est au format de chaîne de date UTC (2023-03-22T19:37:20.168Z).

  • UUID  : identifiant unique attribué au processus par. GuardDuty

  • UUID parent : identifiant unique du processus parent. Cet identifiant est attribué au processus parent par GuardDuty.

  • Utilisateur : utilisateur qui a exécuté le processus.

  • ID utilisateur : ID de l'utilisateur qui a exécuté le processus.

  • ID utilisateur effectif : ID de l'utilisateur effectif du processus au moment de l'événement.

  • Lignée : informations sur les ancêtres du processus.

    • ID de processus : ID attribué au processus par le système d'exploitation.

    • UUID  : identifiant unique attribué au processus par. GuardDuty

    • Chemin exécutable : chemin absolu du fichier exécutable du processus.

    • ID utilisateur effectif : ID de l'utilisateur effectif du processus au moment de l'événement.

    • UUID parent : identifiant unique du processus parent. Cet identifiant est attribué au processus parent par GuardDuty.

    • Heure de début : heure à laquelle le processus a démarré.

    • PID de l'espace de noms : ID du processus dans un espace de noms PID secondaire différent de l'espace de noms PID au niveau de l'hôte. Pour les processus se trouvant à l'intérieur d'un conteneur, il s'agit de l'ID de processus observé à l'intérieur du conteneur.

    • ID utilisateur : ID de l'utilisateur qui a exécuté le processus.

    • Nom : nom du processus.

Contexte d'exécution

Parmi les champs suivants, un résultat généré peut inclure uniquement les champs correspondant au type de résultat.

  • Source de montage : chemin sur l'hôte monté par le conteneur.

  • Cible de montage : chemin du conteneur mappé au répertoire hôte.

  • Type de système de fichiers : représente le type du système de fichiers monté.

  • Indicateurs : représente les options qui contrôlent le comportement de l'événement impliqué dans ce résultat.

  • Processus de modification : informations sur le processus qui a créé ou modifié un fichier binaire, un script ou une bibliothèque dans un conteneur lors de l'exécution.

  • Modifié à : horodatage auquel le processus a créé ou modifié un binaire, un script ou une bibliothèque dans un conteneur au moment de l'exécution. Ce champ est au format de chaîne de date UTC (2023-03-22T19:37:20.168Z).

  • Chemin de la bibliothèque : chemin d'accès à la nouvelle bibliothèque chargée.

  • Valeur de préchargement LD : valeur de la variable d'environnement LD_PRELOAD.

  • Chemin du socket : chemin d'accès au socket Docker auquel l'utilisateur a accédé.

  • Chemin d'accès au binaire Runc : chemin d'accès au binaire runc.

  • Chemin d'accès à l'agent de version : chemin d'accès au fichier de l'agent de version cgroup.

  • Exemple de ligne de commande  : exemple de la ligne de commande impliquée dans l'activité potentiellement suspecte.

  • Catégorie d'outil  : catégorie à laquelle appartient l'outil. Parmi les exemples, citons Backdoor Tool, Pentest Tool, Network Scanner et Network Sniffer.

  • Nom de l'outil  : nom de l'outil potentiellement suspect.

  • Opération sur un fichier  : type d'opération sur le fichier qui a déclenché la recherche, telle que Écrire, Supprimer, Renommer, Créer un lien ou Lien symbolique.

  • Chemin du fichier  : chemin du fichier sensible qui a été modifié. Les modifications incluent les opérations d'écriture, de suppression, de renommage, de création de liens ou de liens symboliques.

  • Chemins de fichiers associés  : tous les chemins de fichiers modifiés par le même processus qui a déclenché la recherche, jusqu'à un maximum de 25 chemins.

  • Chemin du script  : chemin d'accès au script exécuté qui a généré la découverte.

  • Chemin du fichier de menaces  : chemin suspect pour lequel les informations relatives aux menaces ont été trouvées.

  • Nom du service  : nom du service de sécurité qui a été désactivé.

  • Nom du module  : nom du module chargé dans le noyau.

  • Module SHA256 — Le hachage SHA256 du module.

  • Chemin du fichier du module  : chemin d'accès au module chargé dans le noyau.

Détails de l'analyse des volumes EBS

Note

Cette section s'applique aux résultats obtenus lorsque vous activez l'analyse des GuardDuty-initiated programmes malveillantsProtection contre les programmes malveillants pour EC2.

L'analyse des volumes EBS fournit des informations détaillées sur le volume EBS attaché à l'instance EC2 ou à la charge de travail du conteneur potentiellement compromise.

  • ID de numérisation : identifiant de l'analyse des logiciels malveillants.

  • Analyse démarrée à : date et heure du début de l'analyse des logiciels malveillants.

  • Analyse terminée à : date et heure de fin de l'analyse des logiciels malveillants.

  • ID de détection du déclencheur  : identifiant de la GuardDuty découverte qui a lancé cette analyse des programmes malveillants.

  • Sources — Les valeurs potentielles sont Bitdefender etAmazon.

    Pour plus d'informations sur le moteur d'analyse utilisé pour détecter les programmes malveillants, consultezGuardDuty moteur d'analyse pour la détection des malwares.

  • Détections d'analyse : vue complète des détails et des résultats de chaque analyse des logiciels malveillants.

    • Nombre d'éléments analysés : nombre total de fichiers numérisés. Fournit des détails tels que totalGb, files et volumes.

    • Nombre d'éléments de menaces détectées : nombre total de files malveillants détectés lors de l'analyse.

    • Informations sur les menaces les plus graves : informations sur la menace la plus grave détectée lors de l'analyse et sur le nombre de fichiers malveillants. Fournit des détails tels que severity, threatName et count.

    • Menaces détectées par nom : élément du conteneur regroupant les menaces de tous niveaux de gravité. Fournit des détails tels que itemCount, uniqueThreatNameCount, shortened et threatNames.

Informations sur la recherche de Malware Protection for EC2

Note

Cette section s'applique aux résultats obtenus lorsque vous activez l'analyse des GuardDuty-initiated programmes malveillantsProtection contre les programmes malveillants pour EC2.

Lorsque le scan Malware Protection for EC2 détecte un logiciel malveillant, vous pouvez consulter les détails de l'analyse en sélectionnant le résultat correspondant sur la page Résultats de la https://console.aws.amazon.com/guardduty/ console. La gravité de votre détection de Malware Protection for EC2 dépend de la gravité de la GuardDuty découverte.

Les informations suivantes sont disponibles dans la section Menaces détectées du panneau de détails.

  • Nom : nom de la menace, obtenu en groupant les fichiers par détection.

  • Gravité : gravité de la menace détectée.

  • Hash  : SHA-256 nom du fichier.

  • Chemin d'accès du fichier : emplacement du fichier malveillant dans le volume EBS.

  • Nom du fichier : nom du fichier dans lequel la menace a été détectée.

  • ARN du volume : ARN des volumes EBS analysés.

Les informations suivantes sont disponibles dans la section Détails de l'analyse des logiciels malveillants du panneau des détails.

  • ID de numérisation : ID de numérisation des logiciels malveillants.

  • Analyse démarrée à : date et heure du début de l'analyse.

  • Analyse terminée à : date et heure de fin de l'analyse.

  • Fichiers analysés : nombre total de fichiers et de répertoires numérisés.

  • Nombre total de Go numérisés : quantité de stockage analysée au cours du processus.

  • ID de détection du déclencheur  : identifiant de la GuardDuty découverte qui a lancé cette analyse des programmes malveillants.

  • Les informations suivantes sont disponibles dans la section Détails de volume du panneau des détails.

    • ARN du volume : Amazon Resource Name (ARN) du volume.

    • SnapshotARN : ARN de l'instantané du volume EBS.

    • État : état de l'analyse du volume, tel que Running, Skipped et Completed.

    • Type de chiffrement : type de chiffrement utilisé pour chiffrer le volume. Par exemple, CMCMK.

    • Nom de l'appareil : nom de l'appareil. Par exemple, /dev/xvda.

Informations sur la recherche effectuée par la protection contre les logiciels malveillants pour S3

Les informations d'analyse des programmes malveillants suivantes sont disponibles lorsque vous activez à la fois la protection contre les programmes malveillants GuardDuty et la protection contre les programmes malveillants pour S3 dans votre Compte AWS :

  • Menaces  : liste des menaces détectées lors de l'analyse des programmes malveillants.

    De multiples menaces potentielles dans les fichiers d'archive

    Si vous avez un fichier d'archive contenant potentiellement plusieurs menaces, Malware Protection for S3 ne signale que la première menace détectée. Après cela, l'état du scan est marqué comme terminé. GuardDuty génère le type de recherche associé et envoie également EventBridge les événements qu'il génère. Pour plus d'informations sur la surveillance des scans d'objets Amazon S3 à l'aide EventBridge des événements, consultez l'exemple de schéma de notification pour THREATS_FOUND dans. Résultat de l'analyse d'objets S3

  • Chemin de l'élément  : liste du chemin de l'élément imbriqué et des détails de hachage de l'objet S3 scanné.

    • Chemin de l'élément imbriqué  : chemin de l'élément de l'objet S3 scanné dans lequel la menace a été détectée.

      La valeur de ce champ n'est disponible que si l'objet de niveau supérieur est une archive et si une menace est détectée dans une archive.

    • Hash  : hachage de la menace détectée dans cette découverte.

      Note

      Dans les cas où le hachage ne peut pas être calculé, le résultat de l'analyse est toujours fourni et la valeur de hachage est par défaut celle SHA-256 d'une chaîne vide (e3b0c44298fc1c149afbf4c8996fb92427ae41e4649b934ca495991b7852b855).

  • Sources — Les valeurs potentielles sont Bitdefender etAmazon.

    Pour plus d'informations sur le moteur d'analyse utilisé pour détecter les programmes malveillants, consultezGuardDuty moteur d'analyse pour la détection des malwares.

Action

L'action d'un résultat donne des détails sur le type d'activité qui a déclenché le résultat. Les informations disponibles varient selon le type d'action.

Type d'action : type d'activité du résultat. Cette valeur peut être NETWORK_CONNECTION, PORT_PROBE, DNS_REQUEST ou RDS_LOGIN_ATTEMPT. AWS_API_CALL Les informations disponibles varient selon le type d'action :

  • NETWORK_CONNECTION : indique qu'un trafic réseau a été échangé entre l'instance EC2 identifiée et l'hôte distant. Ce type d'action contient les informations supplémentaires suivantes :

    • Direction de connexion  : direction de connexion réseau observée lors de l'activité qui a incité GuardDuty à générer le résultat. Il peut s'agir de l'une des valeurs suivantes :

      • INBOUND : indique qu'un hôte distant a initié une connexion à un port local sur l'instance EC2 identifiée dans votre compte.

      • OUTBOUND : indique que l'instance EC2 identifiée a initié une connexion à un hôte distant.

      • INCONNU — Indique qu'il n' GuardDuty a pas été possible de déterminer la direction de la connexion.

    • Protocole  : protocole de connexion réseau observé lors de l'activité qui a incité GuardDuty à générer le résultat.

    • IP locale : adresse IP source d'origine du trafic ayant déclenché le résultat. Cette information permet de faire la distinction entre l'adresse IP d'une couche intermédiaire via laquelle les flux transitent et l'adresse IP source d'origine du trafic qui a déclenché la recherche. Par exemple, l'adresse IP d'un pod EKS par opposition à l'adresse IP de l'instance sur laquelle le pod EKS s'exécute.

    • Bloqué : indique si le port cible est bloqué.

  • PORT_PROBE : indique qu'un hôte distant a fait l'objet d'une identification de l'instance EC2 sur plusieurs ports ouverts. Ce type d'action contient les informations supplémentaires suivantes :

    • IP locale : adresse IP source d'origine du trafic ayant déclenché le résultat. Cette information permet de faire la distinction entre l'adresse IP d'une couche intermédiaire via laquelle les flux transitent et l'adresse IP source d'origine du trafic qui a déclenché la recherche. Par exemple, l'adresse IP d'un pod EKS par opposition à l'adresse IP de l'instance sur laquelle le pod EKS s'exécute.

    • Bloqué : indique si le port cible est bloqué.

  • DNS_REQUEST : indique que l'instance EC2 identifiée a interrogé un nom de domaine. Ce type d'action contient les informations supplémentaires suivantes :

    • Protocole  : protocole de connexion réseau observé lors de l'activité qui a incité GuardDuty à générer le résultat.

    • Bloqué : indique si le port cible est bloqué.

  • AWS_API_CALL— Indique qu'une AWS API a été invoquée. Ce type d'action contient les informations supplémentaires suivantes :

    • API  : nom de l'opération d'API qui a été invoquée et qui a donc été invitée GuardDuty à générer cette découverte.

      Note

      Ces opérations peuvent également inclure des événements non API capturés par AWS CloudTrail. Pour plus d'informations, consultez la section Non-API Événements capturés par CloudTrail.

    • Agent utilisateur : agent utilisateur à l'origine de la demande d'API. Cette valeur vous indique si l'appel a été effectué à partir du Console de gestion AWS, d'un AWS service, AWS des SDK ou du AWS CLI.

    • CODE D'ERREUR : si le résultat a été déclenché par l'échec d'un appel d'API, le code d'erreur correspondant à cet appel est affiché.

    • Nom du service : nom DNS du service qui a tenté d'effectuer l'appel d'API ayant déclenché le résultat.

  • RDS_LOGIN_ATTEMPT : indique qu'une tentative de connexion a été effectuée à la base de données potentiellement compromise à partir d'une adresse IP distante.

    • Adresse IP : adresse IP distante utilisée pour effectuer la tentative de connexion potentiellement suspecte.

Acteur ou cible

Un résultat a une section Acteur si le rôle de la ressource était TARGET. Cela indique que votre ressource a été ciblée par une activité suspecte, et la section Acteur contient des détails sur l'entité qui a ciblé votre ressource.

Un résultat a une section Cible si le rôle de la ressource était ACTOR. Cela indique que votre ressource a été impliquée dans une activité suspecte contre un hôte distant, et cette section contiendra des informations sur l'IP ou le domaine ciblé par votre ressource.

Les informations disponibles dans la section Acteur ou Cible peuvent inclure les éléments suivants :

  • Affilié  : informations indiquant si le AWS compte de l'appelant de l'API distant est lié à votre GuardDuty environnement. Si cette valeur est true, l'appelant de l'API est affilié à votre compte d'une manière ou d'une autre, tandis que si cette valeur est false, l'appelant de l'API vient de l'extérieur de votre environnement.

  • ID de compte distant  : identifiant de compte propriétaire de l'adresse IP sortante utilisée pour accéder à la ressource sur le réseau final.

  • Adresse IP  : adresse IP impliquée dans l'activité qui a incité GuardDuty à générer la découverte.

  • Emplacement  : informations de localisation relatives à l'adresse IP impliquée dans l'activité qui a incité GuardDuty à générer la découverte.

  • Organisation  : informations relatives à l'organisation du fournisseur de services Internet relatives à l'adresse IP impliquée dans l'activité qui a incité GuardDuty à générer la découverte.

  • Port  : numéro de port impliqué dans l'activité qui a incité GuardDuty à générer le résultat.

  • Domaine  : domaine impliqué dans l'activité qui a incité GuardDuty à générer le résultat.

  • Domaine avec suffixe  : domaine de deuxième et de premier niveau impliqué dans une activité qui a potentiellement incité GuardDuty à générer le résultat. Pour une liste des domaines de premier et de second niveau, consultez la liste des suffixes publics.

Détails de géolocalisation

GuardDuty détermine l'emplacement et le réseau des requêtes à l'aide de bases de données MaxMind GeoIP. MaxMind fait état d'une très grande précision de ses données au niveau national, bien que la précision varie en fonction de facteurs tels que le pays et le type d'adresse IP.

Pour plus d'informations à ce sujet MaxMind, consultez la section Géolocalisation MaxMind IP. Si vous pensez que certaines données GeoIP sont incorrectes, envoyez une demande de correction à MaxMind at MaxMind Correct GeoIP2 Data.

Informations supplémentaires

Tous les résultats ont une section Informations supplémentaires incluant les informations suivantes :

  • Nom de la liste des menaces  : nom de la liste des menaces qui inclut l'adresse IP ou le nom de domaine impliqué dans l'activité qui a incité GuardDuty à générer la découverte.

  • Exemple : une valeur vraie ou fausse qui indique s'il s'agit d'un exemple de résultat.

  • Archivé : une valeur vraie ou fausse qui indique si ce résultat a été archivé.

  • Inhabituelle : détails d'une activité qui n'a pas été observée historiquement. Cela peut inclure tout utilisateur, emplacement, moment, compartiment, comportement de connexion ou organisation ASN inhabituel (non observé précédemment).

  • Protocole inhabituel  : protocole de connexion réseau impliqué dans l'activité qui a incité GuardDuty à générer le résultat.

  • Détails de l'agent : détails sur l'agent de sécurité actuellement déployé sur le cluster EKS de votre Compte AWS. Cela ne s'applique qu'aux types de résultat de la surveillance d'exécution EKS.

    • Version de l'agent  : version de l'agent GuardDuty de sécurité.

    • ID de l'agent  : identifiant unique de l'agent GuardDuty de sécurité.

Preuve

Les résultats basés sur les renseignements sur les menaces comportent une section Preuve qui comprend les informations suivantes :

  • Détails des renseignements sur les menaces  : nom de la liste des menaces sur laquelle Threat name figure la menace reconnue.

  • Nom de la menace  : nom de la famille de programmes malveillants ou autre identifiant associé à la menace.

  • Fichier de menace SHA256 — SHA256 du fichier qui a généré la découverte.

Comportement anormal

Les types de résultats qui se terminent par AnomalousBehavior indiquent que le résultat a été généré par le modèle d'apprentissage automatique (ML) de détection d' GuardDuty anomalies. Le modèle de ML évalue toutes les demandes d'API adressées à votre compte et identifie les événements anormaux associés aux tactiques utilisées par les adversaires. Le modèle de ML suit différents facteurs de la demande d'API, tels que l'utilisateur à l'origine de la demande, l'emplacement d'origine de la demande et l'API spécifique qui a été demandée.

Vous trouverez des informations détaillées sur les facteurs de la demande d'API qui sont inhabituels pour l'identité de l' CloudTrail utilisateur qui a invoqué la demande dans les détails de la recherche. Les identités sont définies par l'élément CloudTrail UserIdentity et les valeurs possibles sont les suivantes : RootIAMUser,AssumedRole, FederatedUserAWSAccount, ouAWSService.

Outre les détails disponibles pour tous les GuardDuty résultats associés à l'activité de l'API, AnomalousBehavior les résultats contiennent des détails supplémentaires qui sont décrits dans la section suivante. Ces détails peuvent être consultés dans la console et sont également disponibles dans le fichier JSON du résultat.

  • API anormales : liste des demandes d'API invoquées par l'identité de l'utilisateur à proximité de la demande d'API principale associée au résultat. Ce volet détaille plus en détail l'événement d'API de la manière suivante.

    • La première API répertoriée est l'API principale, qui est la demande d'API associée à l'activité observée présentant le plus haut risque. Il s'agit de l'API qui a déclenché le résultat et qui est corrélée à la phase d'attaque du type de résultat. Il s'agit également de l'API qui est détaillée dans la section Action de la console et dans le fichier JSON du résultat.

    • Toutes les autres API répertoriées sont des API anormales supplémentaires provenant de l'identité utilisateur répertoriée observée à proximité de l'API principale. S'il n'y a qu'une seule API dans la liste, le modèle de ML n'a identifié aucune demande d'API supplémentaire provenant de cette identité d'utilisateur comme anormale.

    • La liste des API est divisée selon qu'une API a été appelée avec succès ou non, ce qui signifie qu'une réponse d'erreur a été reçue. Le type de réponse d'erreur reçue est indiqué au-dessus de chaque API appelée sans succès. Les types de réponse d'erreur possibles sont les suivants : access denied, access denied exception, auth failure, instance limit exceeded, invalid permission - duplicate, invalid permission - not found et operation not permitted.

    • Les API sont classées en fonction du service qui leur est associé.

    • Pour plus de contexte, choisissez API historiques pour afficher les détails des principales API, jusqu'à un maximum de 20, généralement visibles à la fois pour l'identité de l'utilisateur et pour tous les utilisateurs du compte. Les API sont marquées comme Rare (moins d'une fois par mois), Peu fréquent (quelques fois par mois) ou Fréquent (quotidien ou hebdomadaire), selon la fréquence à laquelle elles sont utilisées dans votre compte.

  • Comportement inhabituel (compte) : cette section fournit des informations supplémentaires sur le comportement profilé de votre compte.

    Comportement profilé

    GuardDuty apprend en permanence les activités de votre compte en fonction des événements organisés. Ces activités et leur fréquence observée sont appelées comportements profilés.

    Les informations suivies dans ce panneau incluent :

    • Organisation ASN  : organisation ASN (Autonomous System Number) à partir de laquelle l'appel d'API anormal a été effectué.

    • Nom d'utilisateur : nom de l'utilisateur qui a effectué l'appel d'API anormal.

    • Agent utilisateur : agent utilisateur utilisé pour effectuer l'appel d'API anormal. L'agent utilisateur est la méthode utilisée pour effectuer l'appel, comme aws-cli ou Botocore.

    • Type d'utilisateur : type d'utilisateur qui a effectué l'appel d'API anormal. Les valeurs possibles sont AWS_SERVICE, ASSUMED_ROLE, IAM_USER ou ROLE.

    • Compartiment : nom du compartiment S3 auquel on a accédé.

  • Comportement inhabituel (identité de l'utilisateur) : cette section fournit des détails supplémentaires sur le comportement profilé de l'identité de l'utilisateur impliqué dans le résultat. Lorsqu'un comportement n'est pas identifié comme historique, cela signifie que le modèle GuardDuty ML n'a jamais vu cette identité d'utilisateur effectuer cet appel d'API de cette manière au cours de la période de formation. Les informations supplémentaires suivantes concernant l'identité de l'utilisateur sont disponibles :

    • Organisation ASN : organisation ASN à partir de laquelle l'appel d'API anormal a été effectué.

    • Agent utilisateur : agent utilisateur utilisé pour effectuer l'appel d'API anormal. L'agent utilisateur est la méthode utilisée pour effectuer l'appel, comme aws-cli ou Botocore.

    • Compartiment : nom du compartiment S3 auquel on a accédé.

  • Comportement inhabituel (compartiment) : cette section fournit des informations supplémentaires sur le comportement profilé du compartiment S3 associé au résultat. Lorsqu'un comportement n'est pas identifié comme historique, cela signifie que le modèle GuardDuty ML n'a jamais vu d'appels d'API effectués de cette manière vers ce compartiment au cours de la période de formation. Les informations suivies dans cette section incluent :

    • Organisation ASN : organisation ASN à partir de laquelle l'appel d'API anormal a été effectué.

    • Nom d'utilisateur : nom de l'utilisateur qui a effectué l'appel d'API anormal.

    • Agent utilisateur : agent utilisateur utilisé pour effectuer l'appel d'API anormal. L'agent utilisateur est la méthode utilisée pour effectuer l'appel, comme aws-cli ou Botocore.

    • Type d'utilisateur : type d'utilisateur qui a effectué l'appel d'API anormal. Les valeurs possibles sont AWS_SERVICE, ASSUMED_ROLE, IAM_USER ou ROLE.

    Note

    Pour plus de détails sur les comportements historiques, choisissez Comportement historique dans la section Comportement inhabituel (compte), ID utilisateur ou Compartiment pour afficher les détails du comportement attendu dans votre compte pour chacune des catégories suivantes : Rare (moins d'une fois par mois), Peu fréquent (quelques fois par mois) ou Fréquent (quotidien ou hebdomadaire), selon la fréquence à laquelle ils sont utilisés dans votre compte.

  • Comportement inhabituel (base de données) : cette section fournit des informations supplémentaires sur le comportement profilé de l'instance de base de données associée au résultat. Lorsqu'un comportement n'est pas identifié comme historique, cela signifie que le modèle GuardDuty ML n'a jamais vu de tentative de connexion à cette instance de base de données de cette manière au cours de la période de formation. Les informations suivies pour cette section dans le panneau de résultat incluent :

    • Nom d'utilisateur : nom d'utilisateur utilisé pour effectuer la tentative de connexion anormale.

    • Organisation ASN : organisation ASN à partir de laquelle la tentative de connexion anormale a été effectuée.

    • Nom de l'application : nom de l'application servant à effectuer la tentative de connexion anormale.

    • Nom de la base de données : nom de l'instance de base de données impliquée dans la tentative de connexion anormale.

    La section Comportement historique fournit plus de contexte sur les noms d'utilisateur, les organisations ASN, les noms d'applications et les noms de base de données précédemment observés pour la base de données associée. Chaque valeur unique est associée à un nombre représentant le nombre de fois qu'elle a été observée lors d'un événement de connexion qui a abouti.

  • Comportement inhabituel (cluster Kubernetes de compte, espace de noms Kubernetes et nom d'utilisateur Kubernetes) : cette section fournit des informations supplémentaires sur le comportement profilé du cluster Kubernetes et de l'espace de noms associé au résultat. Lorsqu'un comportement n'est pas identifié comme historique, cela signifie que le modèle GuardDuty ML n'a jamais observé ce compte, ce cluster, cet espace de noms ou ce nom d'utilisateur de cette manière. Les informations suivies pour cette section dans le panneau de résultat incluent :

    • Nom d'utilisateur : utilisateur qui a appelé l'API Kubernetes associée au résultat.

    • Nom d'utilisateur usurpé : l'utilisateur usurpé par username.

    • Espace de noms : espace de noms Kubernetes au sein du cluster Amazon EKS où l'action s'est produite.

    • Agent utilisateur : agent utilisateur associé à l'appel d'API Kubernetes. L'agent utilisateur est la méthode utilisée pour effectuer l'appel, comme kubectl.

    • API : l'API Kubernetes appelée par username au sein du cluster Amazon EKS.

    • Informations ASN : informations ASN, telles que l'organisation et le fournisseur de services Internet, associées à l'adresse IP de l'utilisateur à l'origine de cet appel.

    • Jour de la semaine : jour de la semaine où l'appel d'API Kubernetes a été effectué.

    • Autorisation  : le verbe et la ressource Kubernetes dont l'accès est vérifié pour indiquer s'ils username peuvent ou non utiliser l'API Kubernetes.

    • Nom du compte de service  : compte de service associé à la charge de travail Kubernetes qui fournit une identité à la charge de travail.

    • Registre  : registre de conteneurs associé à l'image de conteneur déployée dans la charge de travail Kubernetes.

    • Image  : image du conteneur, sans les balises ni le résumé associés, qui est déployée dans la charge de travail Kubernetes.

    • Configuration du préfixe d'image  : préfixe d'image avec la configuration de sécurité du conteneur et de la charge de travail activéeprivileged, par exemple pour le conteneur utilisant l'image. hostNetwork

    • Nom du sujet  : sujets, tels qu'un usergroup, ou serviceAccountName qui est lié à un rôle de référence dans un RoleBinding ouClusterRoleBinding.

    • Nom du rôle  : nom du rôle impliqué dans la création ou la modification des rôles ou de l'roleBindingAPI.

Anomalies basées sur le volume S3

Cette section détaille les informations contextuelles relatives aux anomalies basées sur le volume S3. Le résultat basé sur le volume (Exfiltration:S3/AnomalousBehavior) surveille le nombre inhabituel d'appels d'API S3 adressés par les utilisateurs aux compartiments S3, ce qui indique une exfiltration potentielle de données. Les appels d'API S3 suivants sont surveillés pour détecter les anomalies basées sur le volume.

  • GetObject

  • CopyObject.Read

  • SelectObjectContent

Les métriques suivantes aideront à établir une référence du comportement habituel lorsqu'une entité IAM accède à un compartiment S3. Pour détecter l'exfiltration de données, le résultat de détection d'anomalies basées sur le volume évalue toutes les activités par rapport à la référence comportementale habituelle. Choisissez Comportement historique dans les sections Comportement inhabituel (identité utilisateur), Volume observé (identité utilisateur) et Volume observé (compartiment) pour afficher les métriques suivantes, respectivement.

  • Nombre d'appels d'API s3-api-name invoqués par l'utilisateur IAM ou le rôle IAM (selon celui qui a été émis) associés au compartiment S3 concerné au cours des dernières 24 heures.

  • Nombre d'appels d'API s3-api-name invoqués par l'utilisateur IAM ou le rôle IAM (selon celui qui a été émis) associés à tous les compartiments S3 au cours des dernières 24 heures.

  • Nombre d'appels d'API s3-api-name entre tous les utilisateurs IAM ou rôles IAM (selon celui qui a été émis) associés au compartiment S3 concerné au cours des dernières 24 heures.

Anomalies basées sur l'activité de connexion RDS

Cette section détaille le nombre de tentatives de connexion effectuées par l'acteur inhabituel et est regroupée en fonction du résultat des tentatives de connexion. Les Types de résultat de la protection RDS identifient les comportements anormaux en surveillant les événements de connexion pour détecter les modèles inhabituels de successfulLoginCount, failedLoginCount et incompleteConnectionCount.

  • succès LoginCount — Ce compteur représente la somme des connexions réussies (combinaison correcte d'attributs de connexion) établies à l'instance de base de données par l'acteur inhabituel. Les attributs de connexion incluent le nom d'utilisateur, le mot de passe et le nom de la base de données.

  • échec LoginCount — Ce compteur représente la somme des tentatives de connexion échouées (infructueuses) effectuées pour établir une connexion à l'instance de base de données. Il indique qu'un ou plusieurs attributs de la combinaison de connexion, tels que le nom d'utilisateur, le mot de passe ou le nom de base de données, étaient incorrects.

  • incomplète ConnectionCount  : ce compteur représente le nombre de tentatives de connexion qui ne peuvent être considérées comme réussies ou échouées. Ces connexions sont fermées avant que la base de données ne fournisse une réponse. Par exemple, l'analyse des ports lorsque le port de base de données est connecté, mais qu'aucune information n'est envoyée à la base de données, ou lorsque la connexion a été interrompue avant la fin de la connexion lors d'une tentative réussie ou infructueuse.