GuardDuty Indagine (anteprima)

Esegui l'operazione CreateInvestigation API per iniziare una nuova indagine. È necessario fornire l'ID del rilevatore e un prompt di attivazione che descriva cosa indagare.

Per trovare i dati detectorId relativi al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

Nel comando precedente, sostituisci il detector-id con il tuo ID del rilevatore e trigger-prompt con una descrizione di ciò che desideri esaminare.

È possibile includere facoltativamente un --client-token parametro per l'idempotenza. Se riprovi la richiesta con lo stesso token client, GuardDuty restituisce l'indagine esistente invece di creare un duplicato.

Output di esempio:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Requisiti del prompt di attivazione

Il prompt del trigger deve descrivere cosa esaminare. GuardDuty determina il tipo di analisi in base al contenuto del prompt:

GuardDuty utilizza l'intelligenza artificiale per interpretare il prompt in formato libero e determinare l'ambito di analisi appropriato. Se includi un ID di ricerca, esegue l'analisi dei risultati. Se includi un ID account, esegue l'analisi dell'account. Se il prompt descrive un problema a livello di organizzazione, esegue un'analisi dell'organizzazione. Se il prompt non corrisponde a un tipo di analisi specifico, per impostazione predefinita l'analisi dell'account del chiamante.

Di seguito sono riportati alcuni esempi di prompt di attivazione per ogni tipo di analisi:

Creazione di un'indagine per un account membro

Se sei un account amministratore, puoi creare un'indagine per un account membro includendo l'ID dell'account membro nella richiesta di attivazione. Usa l'ID del rilevatore dell'account amministratore nel comando. I risultati dell'indagine conterranno i risultati dell'account membro specificato.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

Nel comando precedente, sostituisci l'ID del rilevatore detector-id con quello del tuo account amministratore. L'ID dell'account a 12 cifre nel prompt dei trigger identifica l'account membro da esaminare.

Esegui l'operazione GetInvestigation API per recuperare i dettagli completi di un'indagine completata.

Per trovare i dati detectorId relativi al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Esempio di output per un'indagine completata:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Il Summary campo contiene una stringa JSON con i risultati completi dell'indagine, comprese le osservazioni chiave, le contromisure con i comandi CLI e una valutazione delle minacce MITRE ATT&CK®.

Esegui l'operazione ListInvestigations API per elencare i riepiloghi delle indagini per un rilevatore.

Per trovare i dati detectorId relativi al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/ console o esegui l'ListDetectorsAPI.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Puoi ordinare i risultati specificando un --sort-criteria parametro. L'esempio seguente elenca le indagini ordinate per ora di inizio in ordine decrescente:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Gli attributi di ordinamento disponibili sonoSTART_TIME, END_TIMESTATUS, RISK_LEVEL e. CONFIDENCE È possibile ordinarli in ordine ASC (crescente) o DESC (decrescente).

Output di esempio:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Se la risposta include un NextToken valore, passalo in una richiesta successiva per recuperare la pagina successiva dei risultati. Puoi recuperare fino a 50 risultati per pagina.