GuardDuty Investigación (vista previa)

Ejecute la operación de la CreateInvestigation API para iniciar una nueva investigación. Debe proporcionar el ID del detector y un mensaje de activación que describa lo que debe investigarse.

Para encontrar el detectorId correspondiente a tu cuenta y región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta la ListDetectorsAPI.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

En el comando anterior, sustitúyalo por tu propio identificador de detector y trigger-prompt por una descripción de lo que quieres investigar. detector-id

Si lo desea, puede incluir un --client-token parámetro para la idempotencia. Si vuelves a intentar la solicitud con el mismo token de cliente, GuardDuty devuelve la investigación existente en lugar de crear una duplicada.

Ejemplo de código de salida:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Activa los requisitos de aviso

El mensaje de activación debe describir lo que se va a investigar. GuardDuty determina el tipo de análisis en función del contenido de la solicitud:

GuardDuty utiliza la IA para interpretar su solicitud de formato libre y determinar el alcance del análisis adecuado. Si incluye un identificador de búsqueda, realiza un análisis de búsqueda. Si incluyes un identificador de cuenta, realiza un análisis de la cuenta. Si la solicitud describe un problema que afecta a toda la organización, realiza un análisis de la organización. Si el mensaje no coincide con un tipo de análisis específico, la investigación pasa por analizar de forma predeterminada la propia cuenta de la persona que llama.

A continuación, se muestran ejemplos de solicitudes de activación para cada tipo de análisis:

Crear una investigación para la cuenta de un miembro

Si eres administrador de una cuenta, puedes iniciar una investigación para una cuenta de miembro incluyendo el ID de la cuenta de miembro en el mensaje de activación. Usa el identificador del detector de la cuenta de administrador en el comando. Los resultados de la investigación contendrán las conclusiones de la cuenta de miembro especificada.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

En el comando anterior, sustituya el por el detector-id ID de detector de su cuenta de administrador. El identificador de cuenta de 12 dígitos que aparece en la ventana de activación identifica la cuenta del miembro que se va a investigar.

Ejecute la operación de la GetInvestigation API para recuperar todos los detalles de una investigación finalizada.

Para encontrar la detectorId correspondiente a tu cuenta y región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta la ListDetectorsAPI.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Ejemplo de resultado de una investigación finalizada:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

El Summary campo contiene una cadena JSON con los resultados completos de la investigación, incluidas las observaciones clave, las contramedidas con comandos CLI y una evaluación de amenazas de MITRE ATT&CK®.

Ejecute la operación de la ListInvestigations API para enumerar los resúmenes de las investigaciones de un detector.

Para encontrar la detectorId correspondiente a tu cuenta y región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta la ListDetectorsAPI.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Puede ordenar los resultados especificando un --sort-criteria parámetro. En el siguiente ejemplo, se enumeran las investigaciones ordenadas por hora de inicio en orden descendente:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Los atributos de ordenación disponibles son START_TIMEEND_TIME, STATUSRISK_LEVEL, yCONFIDENCE. Puede ordenar en orden ASC (ascendente) o DESC (descendente).

Ejemplo de código de salida:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Si la respuesta incluye un NextToken valor, pásalo en una solicitud posterior para recuperar la siguiente página de resultados. Puedes recuperar hasta 50 resultados por página.