GuardDuty Untersuchung (Vorschau)

Führen Sie den CreateInvestigation API-Vorgang aus, um eine neue Untersuchung zu starten. Sie müssen die Detektor-ID und eine Trigger-Eingabeaufforderung angeben, in der beschrieben wird, was untersucht werden soll.

Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

Ersetzen Sie im vorherigen Befehl das detector-id durch Ihre eigene Detektor-ID und trigger-prompt durch eine Beschreibung dessen, was Sie untersuchen möchten.

Sie können optional einen --client-token Parameter für die Idempotenz angeben. Wenn Sie die Anfrage mit demselben Client-Token wiederholen, wird die bestehende Untersuchung GuardDuty zurückgegeben, anstatt ein Duplikat zu erstellen.

Beispielausgabe:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Anforderungen an die Trigger-Aufforderung

Die Trigger-Eingabeaufforderung muss beschreiben, was untersucht werden soll. GuardDuty bestimmt den Analysetyp auf der Grundlage des Inhalts Ihrer Aufforderung:

GuardDuty verwendet KI, um Ihre Freiform-Eingabeaufforderung zu interpretieren und den geeigneten Analyseumfang zu bestimmen. Wenn Sie eine Ergebnis-ID angeben, wird eine Ergebnisanalyse durchgeführt. Wenn Sie eine Konto-ID angeben, wird eine Kontoanalyse durchgeführt. Wenn Ihre Aufforderung ein unternehmensweites Anliegen beschreibt, wird eine Organisationsanalyse durchgeführt. Wenn die Aufforderung keinem bestimmten Analysetyp entspricht, analysiert die Untersuchung standardmäßig das eigene Konto des Anrufers.

Im Folgenden finden Sie Beispiele für Trigger-Eingabeaufforderungen für jeden Analysetyp:

Eine Untersuchung für ein Mitgliedskonto erstellen

Wenn Sie ein Administratorkonto sind, können Sie eine Untersuchung für ein Mitgliedskonto erstellen, indem Sie die Mitgliedskonto-ID in die Trigger-Eingabeaufforderung eingeben. Verwenden Sie im Befehl die Detektor-ID des Administratorkontos. Die Untersuchungsergebnisse werden Ergebnisse aus dem angegebenen Mitgliedskonto enthalten.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

Ersetzen Sie im vorherigen Befehl das detector-id durch die Detektor-ID Ihres Administratorkontos. Die 12-stellige Konto-ID in der Trigger-Eingabeaufforderung identifiziert das Mitgliedskonto, das untersucht werden soll.

Führen Sie den GetInvestigation API-Vorgang aus, um die vollständigen Details einer abgeschlossenen Untersuchung abzurufen.

Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Beispielausgabe für eine abgeschlossene Untersuchung:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Das Summary Feld enthält eine JSON-Zeichenfolge mit den vollständigen Untersuchungsergebnissen, einschließlich wichtiger Beobachtungen, Gegenmaßnahmen mit CLI-Befehlen und einer MITRE ATT&CK® -Bedrohungsanalyse.

Führen Sie den ListInvestigations API-Vorgang aus, um die Zusammenfassungen der Untersuchungen für einen Detektor aufzulisten.

Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Sie können die Ergebnisse sortieren, indem Sie einen --sort-criteria Parameter angeben. Das folgende Beispiel listet Untersuchungen sortiert nach Startzeit in absteigender Reihenfolge auf:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Die verfügbaren Sortierattribute sind START_TIMEEND_TIME, STATUSRISK_LEVEL, undCONFIDENCE. Sie können in ASC (aufsteigender) oder DESC (absteigender) Reihenfolge sortieren.

Beispielausgabe:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Wenn die Antwort einen NextToken Wert enthält, geben Sie ihn in einer nachfolgenden Anfrage weiter, um die nächste Ergebnisseite abzurufen. Sie können bis zu 50 Ergebnisse pro Seite abrufen.