GuardDuty Investigación (vista previa)

Ejecute la operación de la CreateInvestigation API para iniciar una nueva investigación. Debe proporcionar el identificador del detector y un mensaje de activación que describa lo que debe investigar.

Para encontrar el detectorId de tu cuenta y tu región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/ consola o ejecuta la ListDetectors API.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

En el comando anterior, sustitúyalo por su propio identificador de detector y trigger-prompt por una descripción de lo que quiere investigar. detector-id

Si lo desea, puede incluir un --client-token parámetro para la idempotencia. Si vuelves a intentar la solicitud con el mismo token de cliente, GuardDuty devuelve la investigación existente en lugar de crear una duplicada.

Ejemplo de código de salida:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Desencadenar requisitos rápidos

La solicitud de activación debe describir lo que se debe investigar. GuardDuty determina el tipo de análisis en función del contenido de la solicitud:

GuardDuty utiliza la inteligencia artificial para interpretar su solicitud de formato libre y determinar el alcance de análisis adecuado. Si incluyes un identificador de búsqueda, realiza un análisis de búsqueda. Si incluyes un identificador de cuenta, realizará un análisis de la cuenta. Si tu mensaje describe un problema que afecta a toda la organización, realiza un análisis de la organización. Si la solicitud no coincide con un tipo de análisis específico, la investigación analizará de forma predeterminada la propia cuenta de la persona que llama.

A continuación se muestran ejemplos de solicitudes de activación para cada tipo de análisis:

Crear una investigación para una cuenta de miembro

Si eres administrador de una cuenta, puedes crear una investigación para una cuenta de miembro si incluyes el identificador de la cuenta de miembro en el mensaje de activación. Utilice el identificador del detector de la cuenta de administrador en el comando. Los resultados de la investigación incluirán los hallazgos de la cuenta de miembro especificada.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

En el comando anterior, sustitúyalo por el detector-id identificador de detector de su cuenta de administrador. El identificador de cuenta de 12 dígitos que aparece en el mensaje de activación identifica la cuenta del miembro que se va a investigar.

Ejecute la operación de la GetInvestigation API para recuperar todos los detalles de una investigación finalizada.

Para encontrar la detectorId información de tu cuenta y tu región actual, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/ consola o ejecuta la ListDetectors API.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Ejemplo de resultado de una investigación finalizada:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

El Summary campo contiene una cadena JSON con los resultados completos de la investigación, incluidas las observaciones clave, las contramedidas con comandos de la CLI y una evaluación de amenazas de MITRE ATT&CK®.

Ejecute la operación de la ListInvestigations API para enumerar los resúmenes de las investigaciones de un detector.

Para encontrar el detectorId de su cuenta y su región actual, consulte la página de configuración de la https://console.aws.amazon.com/guardduty/ consola o ejecute la ListDetectors API.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Puedes ordenar los resultados especificando un --sort-criteria parámetro. En el siguiente ejemplo, se enumeran las investigaciones ordenadas por hora de inicio en orden descendente:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Los atributos de clasificación disponibles son START_TIMEEND_TIME, STATUSRISK_LEVEL, yCONFIDENCE. Puede ordenar en orden ASC (ascendente) o DESC (descendente).

Ejemplo de código de salida:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Si la respuesta incluye un NextToken valor, pásalo en una solicitud posterior para recuperar la siguiente página de resultados. Puedes recuperar hasta 50 resultados por página.