El Datadog Agent evalúa la actividad del sistema en el servidor del Agent. Cuando la actividad coincide con una expresión de regla del Agent, el Agent genera un evento y lo envía al backend de Datadog.

Con el Explorador de eventos de Agent, puede investigar los eventos de Agent por separado de las señales. Revise qué sucedió, dónde ocurrió y qué regla del Agent coincidió utilizando el panel lateral del evento. También puede explorar el gráfico de investigación, el árbol de procesos y la carga útil JSON sin procesar, y visualizar las instrucciones de triaje y respuesta para la regla coincidente.

Investigue eventos de Agent

Para investigar un evento de Agent:

1. Vaya al Explorador de eventos de Agent. Los eventos de Agent se consultan y muestran mediante los controles estándar del explorador en el Explorador de eventos de Datadog.
2. Seleccione un evento de Agent. El panel lateral se abre con pestañas que le ayudan a investigar el evento.

Descripción general

La pestaña Overview resume el evento y suele ser el mejor lugar para comenzar su investigación.

La pestaña Overview incluye las siguientes secciones:

• What: Una descripción legible por humanos de la actividad detectada. Por ejemplo, Un usuario ejecutó el comando clang en el servidor i-0d85f97942d947ca9.
• Where: El contexto de la infraestructura donde ocurrió el evento, incluyendo el proveedor de nube, la cuenta, la región, el servidor, el clúster de Kubernetes, el espacio de nombres, el pod, el contenedor y la imagen.
• Agent rule: La regla del Agent que coincidió con el evento, incluyendo el nombre de la regla, el nombre del evento, las políticas de despliegue, la versión de la política y la expresión de la regla.
• Investigation graph: Una vista previa del gráfico de investigación en la parte inferior de la pestaña Overview.
• Process tree: El linaje completo del proceso desde el proceso de inicio del sistema hasta el proceso que activó el evento.

Gráfico de investigación

El Investigation graph es una visualización interactiva que mapea la infraestructura y los procesos involucrados en el evento. Proporciona una descripción general compacta de la cadena de ataque al resaltar las entidades y procesos más relevantes.

El gráfico rastrea el evento desde el servidor a través de la infraestructura circundante —como el pod de Kubernetes, el conjunto de réplicas, el contenedor y la imagen del contenedor— y hacia la ruta de ejecución del proceso. Los procesos principales involucrados en el evento se muestran individualmente, mientras que los procesos menos relevantes se agregan en nodos agrupados (por ejemplo, +7 procesos) para mantener la vista enfocada en la actividad sospechosa.

Utilice el gráfico de investigación para comprender cómo la actividad detectada encaja en el contexto de ejecución más amplio sin revisar cada proceso en el servidor.

Árbol de procesos

El Process tree enumera el linaje completo del proceso desde el proceso de inicio del sistema hasta el proceso que activó el evento.

Para cada proceso en la cadena, el árbol de procesos muestra:

• Path: La ruta del ejecutable y los argumentos de la línea de comandos.
• PID: El ID del proceso.
• PPID: El ID del proceso padre.
• User: El contexto de usuario bajo el cual se ejecutó el proceso.

El árbol de procesos muestra la ascendencia completa del evento, comenzando desde systemd y continuando a través de procesos intermedios —como containerd, runc y procesos específicos de la carga de trabajo— hasta el comando que coincidió con la regla del Agent. Esto le ayuda a reconstruir la ruta de ejecución exacta que condujo a la detección.

JSON

La pestaña JSON muestra la carga útil del evento sin procesar con el conjunto completo de atributos del evento recopilados por el Agent. Utilice JSON cuando necesite la vista más detallada de los datos del evento, por ejemplo, para escribir consultas avanzadas en el Agent Events Explorer o compartir la carga útil completa del evento durante una investigación. Para filtrar cualquier campo, puede hacer clic en él desde el JSON.

Lecturas adicionales

Documentación, enlaces y artículos útiles adicionales:

Explore las reglas de detección de Workload ProtectionDOCUMENTACIÓN Obtenga más información sobre las notificaciones de seguridadDOCUMENTACIÓN