Datadog Agent évalue l’activité système sur l’hôte de l’agent. Lorsqu’une activité correspond à une expression de règle d’agent, l’agent génère un événement et le transmet au backend Datadog.
Avec Agent Events Explorer, vous pouvez examiner les événements d’agent séparément des signaux. Examinez ce qui s’est passé, où cela s’est produit et quelle règle d’agent correspondait en utilisant le panneau latéral de l’événement. Vous pouvez également explorer le graphe d’investigation, l’arborescence des processus et la charge utile JSON brute, et consulter les instructions de triage et de réponse pour la règle correspondante.
Examinez les événements d’agent
Pour examiner un événement d’agent :
- Accédez à Agent Events Explorer. Les événements d’agent sont interrogés et affichés à l’aide des contrôles d’explorateur standard dans l’Explorateur d’événements de Datadog.
- Sélectionnez un événement d’agent. Le panneau latéral s’ouvre avec des onglets qui vous aident à examiner l’événement.
Présentation
L’onglet Overview résume l’événement et constitue souvent le meilleur point de départ pour votre enquête.
L’onglet Vue d’ensemble comprend les sections suivantes :
- What : Une description en langage clair de l’activité détectée. Par exemple, Un utilisateur a exécuté la commande clang sur l’hôte i-0d85f97942d947ca9.
- Where : Le contexte de l’infrastructure où l’événement s’est produit, incluant le fournisseur cloud, le compte, la région, l’hôte, le cluster Kubernetes, l’espace de noms, le pod, le conteneur et l’image.
- Agent rule : La règle d’agent correspondant à l’événement, incluant le nom de la règle, le nom de l’événement, les politiques de déploiement, la version de la politique et l’expression de la règle.
- Investigation graph : Un aperçu du graphe d’investigation en bas de l’onglet Vue d’ensemble.
- Process tree : La lignée complète des processus, du processus init système jusqu’au processus ayant déclenché l’événement.
Graphe d’investigation
Le Investigation graph est une visualisation interactive qui cartographie l’infrastructure et les processus impliqués dans l’événement. Il fournit une vue d’ensemble compacte de la chaîne d’attaque en mettant en évidence les entités et les processus les plus pertinents.
Le graphe retrace l’événement depuis l’hôte à travers l’infrastructure environnante — telle que le pod Kubernetes, le replica set, le conteneur et l’image de conteneur — et jusqu’au chemin d’exécution du processus. Les processus principaux impliqués dans l’événement sont affichés individuellement, tandis que les processus moins pertinents sont agrégés dans des nœuds groupés (par exemple, +7 processus) pour garder la vue concentrée sur l’activité suspecte.
Utilisez le graphe d’investigation pour comprendre comment l’activité détectée s’inscrit dans le contexte d’exécution plus large sans avoir à examiner chaque processus sur l’hôte.
Arborescence des processus
Le Process tree liste la lignée complète des processus, du processus init système jusqu’au processus ayant déclenché l’événement.
Pour chaque processus de la chaîne, l’arborescence des processus affiche :
- Path : Le chemin de l’exécutable et les arguments de la ligne de commande.
- PID : L’identifiant du processus.
- PPID : L’identifiant du processus parent.
- User : Le contexte utilisateur sous lequel le processus a été exécuté.
L’arborescence des processus montre l’ascendance complète de l’événement, en commençant par systemd et en continuant à travers les processus intermédiaires — tels que containerd, runc et les processus spécifiques à la charge de travail — jusqu’à la commande correspondant à la règle Agent. Cela vous aide à reconstruire le chemin d’exécution exact qui a conduit à la détection.
JSON
L’onglet JSON affiche la charge utile brute de l’événement avec l’ensemble complet des attributs d’événement collectés par l’Agent. Utilisez le format JSON lorsque vous avez besoin de la vue la plus détaillée des données d’événement, par exemple pour rédiger des requêtes avancées dans Agent Events Explorer, ou pour partager la charge utile complète de l’événement lors d’une enquête. Pour inclure ou exclure n’importe quel champ par filtrage, vous pouvez cliquer dessus depuis le JSON.
Pour aller plus loin
Documentation, liens et articles supplémentaires utiles:
