AWSGuardDuty

Результаты, выявленные системой Guard Duty, которые были получены из соединителя Sentinel, представляют собой потенциальную угрозу безопасности, обнаруженную в вашей сети. GuardDuty создает уведомление при обнаружении неожиданных и потенциально вредоносных действий в вашей среде AWS.

Атрибуты таблицы

Атрибут Значение
Типы ресурсов -
Категории Безопасность
Решения SecurityInsights
Базовый журнал Да
Поддержка DCR во время приема Да
Прием только озера Да
Примеры запросов Да

Столбцы

Столбец Тип Описание
ИдентификаторАккаунта строка Идентификатор учетной записи AWS владельца исходного сетевого интерфейса, для которого записывается трафик. Если сетевой интерфейс создается службой AWS, например при создании конечной точки VPC или сетевого балансировщика нагрузки, в этом поле может отображаться значение неизвестно.
Тип активности строка Отформатированная строка, представляющая тип действия, вызвавшее выявление.
Arn строка Имя ресурса Amazon, связанное с обнаружением.
_BilledSize (Размер счета) реальный Размер записи в байтах
Описание строка Описание основной цели угрозы или атаки, связанной с поиском.
Идентификатор строка Уникальный идентификатор поиска для этого типа поиска и набора параметров. Новые случаи активности, соответствующие этому шаблону, будут объединены под тем же идентификатором.
_ПодлежитУчету строка Указывает, подлежит ли прием данных оплате. Если _IsBillable false, обработка данных не взимается с вашей учетной записи Azure.
Раздел строка Раздел AWS, в котором был создан вывод.
Область/регион строка Регион AWS, в котором было сформировано обнаружение.
Детали ресурса динамический Предоставляет сведения о ресурсе AWS, который был предназначен для действия триггера. Доступные сведения зависят от типа ресурса и типа действия.
Версия схемы строка Версия находки службы дозора.
Детали услуги динамический Предоставляет сведения о службе AWS, связанной с поиском, включая действие, субъект или целевой объект, доказательства, аномальное поведение и дополнительные сведения.
Тяжесть INT Уровень серьезности для заключения может быть назначен как "Высокий", "Средний" или "Низкий".
SourceSystem строка Тип агента, который собрал событие. Например, OpsManager для агента Windows с прямым подключением или Operations Manager, Linux для всех агентов Linux или Azure для Azure Diagnostics
Идентификатор арендатора строка Идентификатор рабочей области Log Analytics
ВремяСоздания дата и время Время и дата создания этого результата. Если это значение отличается от «Время обновления» (TimeGenerated), это указывает на то, что действие произошло несколько раз и является продолжающейся проблемой.
Время генерации дата и время Отметка времени (UTC) создания события. Последний раз, когда это обнаружение обновлялось с новой активностью, соответствующей шаблону, который стал причиной для GuardDuty сгенерировать это обнаружение.
Заголовок строка Сводка основной цели угрозы или атаки, связанной с обнаружением.
Тип строка Имя таблицы.
  • Last updated on