GuardDuty Enquête (aperçu)

Exécutez l'opération d'CreateInvestigationAPI pour démarrer une nouvelle enquête. Vous devez fournir l'identifiant du détecteur et une invite de déclenchement décrivant les éléments à examiner.

detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

Dans la commande précédente, remplacez le detector-id par votre propre identifiant de détecteur et trigger-prompt par une description de ce que vous souhaitez étudier.

Vous pouvez éventuellement inclure un --client-token paramètre pour l'idempotence. Si vous réessayez la demande avec le même jeton client, GuardDuty renvoie l'enquête existante au lieu de créer un doublon.

Exemple de sortie :

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Exigences relatives au déclenchement rapide

L'invite de déclenchement doit décrire les éléments à examiner. GuardDuty détermine le type d'analyse en fonction du contenu de votre invite :

GuardDuty utilise l'IA pour interpréter votre invite de forme libre et déterminer la portée d'analyse appropriée. Si vous incluez un identifiant de recherche, il effectue une analyse de recherche. Si vous incluez un identifiant de compte, il effectue une analyse du compte. Si votre invite décrit un problème à l'échelle de l'organisation, elle effectue une analyse de l'organisation. Si l'invite ne correspond pas à un type d'analyse spécifique, l'enquête analyse par défaut le compte de l'appelant.

Voici des exemples de messages de déclenchement pour chaque type d'analyse :

Création d'une enquête pour un compte membre

Si vous êtes un compte administrateur, vous pouvez créer une enquête pour un compte membre en incluant l'identifiant du compte membre dans l'invite de déclenchement. Utilisez l'ID de détecteur du compte administrateur dans la commande. Les résultats de l'enquête contiendront les résultats du compte membre spécifié.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

Dans la commande précédente, remplacez le detector-id par l'ID de détecteur de votre compte administrateur. L'identifiant de compte à 12 chiffres figurant dans l'invite de déclenchement identifie le compte du membre à examiner.

Exécutez l'opération d'GetInvestigationAPI pour récupérer tous les détails d'une enquête terminée.

detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Exemple de résultat pour une enquête terminée :

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Le Summary champ contient une chaîne JSON contenant les résultats complets de l'enquête, y compris les principales observations, les contre-mesures à l'aide de commandes CLI et une évaluation des menaces MITRE ATT&CK®.

Exécutez l'opération ListInvestigations API pour répertorier les résumés d'enquêtes pour un détecteur.

detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Vous pouvez trier les résultats en spécifiant un --sort-criteria paramètre. L'exemple suivant répertorie les enquêtes triées par heure de début dans l'ordre décroissant :

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Les attributs de tri disponibles sont START_TIME END_TIMESTATUS,RISK_LEVEL, etCONFIDENCE. Vous pouvez trier par ordre ASC (croissant) ou DESC (décroissant).

Exemple de sortie :

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Si la réponse inclut une NextToken valeur, transmettez-la dans une requête ultérieure pour récupérer la page de résultats suivante. Vous pouvez récupérer jusqu'à 50 résultats par page.