GuardDuty Untersuchung (Vorschau)

Führen Sie den CreateInvestigation API-Vorgang aus, um eine neue Untersuchung zu starten. Sie müssen die Melder-ID und eine Auslöseraufforderung angeben, die beschreibt, was untersucht werden soll.

Informationen zu den Einstellungen detectorId für Ihr Konto und Ihre aktuelle Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/Konsole oder führen Sie die ListDetectorsAPI aus.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

Ersetzen Sie im vorherigen Befehl das detector-id durch Ihre eigene Melder-ID und trigger-prompt durch eine Beschreibung dessen, was Sie untersuchen möchten.

Sie können optional einen --client-token Parameter für Idempotenz angeben. Wenn Sie die Anfrage mit demselben Client-Token erneut versuchen, wird die bestehende Untersuchung GuardDuty zurückgegeben, anstatt ein Duplikat zu erstellen.

Beispielausgabe:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Anforderungen an die Trigger-Aufforderung

In der Auslöseraufforderung muss beschrieben werden, was untersucht werden soll. GuardDuty bestimmt den Analysetyp anhand des Inhalts Ihrer Eingabeaufforderung:

GuardDuty verwendet KI, um Ihre formlose Aufforderung zu interpretieren und den geeigneten Analyseumfang zu bestimmen. Wenn Sie eine Befund-ID angeben, wird eine Ergebnisanalyse durchgeführt. Wenn Sie eine Konto-ID angeben, wird eine Kontoanalyse durchgeführt. Wenn Ihre Aufforderung ein unternehmensweites Problem beschreibt, wird eine Organisationsanalyse durchgeführt. Wenn die Aufforderung keinem bestimmten Analysetyp entspricht, analysiert die Untersuchung standardmäßig das eigene Konto des Anrufers.

Im Folgenden finden Sie Beispiele für Trigger-Eingabeaufforderungen für jeden Analysetyp:

Erstellung einer Untersuchung für ein Mitgliedskonto

Wenn Sie ein Administratorkonto haben, können Sie eine Untersuchung für ein Mitgliedskonto erstellen, indem Sie die Mitgliedskonto-ID in der Auslöseraufforderung angeben. Verwenden Sie die Detektor-ID des Administratorkontos im Befehl. Die Ergebnisse der Untersuchung werden Ergebnisse aus dem angegebenen Mitgliedskonto enthalten.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

Ersetzen Sie im vorherigen Befehl das detector-id durch die Melder-ID Ihres Administratorkontos. Die 12-stellige Konto-ID in der Trigger-Eingabeaufforderung identifiziert das Mitgliedskonto, das untersucht werden soll.

Führen Sie den GetInvestigation API-Vorgang aus, um alle Details einer abgeschlossenen Untersuchung abzurufen.

Informationen zu den Einstellungen detectorId für Ihr Konto und Ihre aktuelle Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/Konsole oder führen Sie die ListDetectorsAPI aus.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Beispielausgabe für eine abgeschlossene Untersuchung:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Das Summary Feld enthält eine JSON-Zeichenfolge mit den vollständigen Untersuchungsergebnissen, einschließlich der wichtigsten Beobachtungen, Gegenmaßnahmen mit CLI-Befehlen und einer MITRE ATT&CK® -Bedrohungsbeurteilung.

Führen Sie den ListInvestigations API-Vorgang aus, um die Zusammenfassungen der Untersuchungen für einen Detektor aufzulisten.

Informationen zu den Einstellungen detectorId für Ihr Konto und Ihre aktuelle Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/Konsole oder führen Sie die ListDetectorsAPI aus.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Sie können die Ergebnisse sortieren, indem Sie einen --sort-criteria Parameter angeben. Im folgenden Beispiel sind die Untersuchungen in absteigender Reihenfolge nach Startzeit sortiert:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Die verfügbaren Sortierattribute sindSTART_TIME,END_TIME, STATUSRISK_LEVEL, undCONFIDENCE. Sie können in ASC (aufsteigender) oder DESC (absteigender) Reihenfolge sortieren.

Beispielausgabe:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Wenn die Antwort einen NextToken Wert enthält, übergeben Sie ihn in einer nachfolgenden Anfrage, um die nächste Ergebnisseite abzurufen. Sie können bis zu 50 Ergebnisse pro Seite abrufen.