GuardDuty Indagine (anteprima)

Esegui l'operazione CreateInvestigation API per avviare una nuova indagine. È necessario fornire l'ID del rilevatore e un prompt di attivazione che descriva cosa indagare.

Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console o esegui l'ListDetectorsAPI.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

Nel comando precedente, sostituiscilo detector-id con il tuo ID del rilevatore e trigger-prompt con una descrizione di ciò che desideri esaminare.

Facoltativamente, puoi includere un --client-token parametro per l'idempotenza. Se riprovi la richiesta con lo stesso token client, GuardDuty restituisce l'indagine esistente invece di crearne una duplicata.

Output di esempio:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

Requisiti di attivazione tempestiva

Il prompt di attivazione deve descrivere cosa esaminare. GuardDuty determina il tipo di analisi in base al contenuto del prompt:

GuardDuty utilizza l'intelligenza artificiale per interpretare il prompt in formato libero e determinare l'ambito di analisi appropriato. Se includi un ID di ricerca, esegue l'analisi dei risultati. Se includi un ID account, esegue l'analisi dell'account. Se il prompt descrive un problema a livello di organizzazione, esegue un'analisi dell'organizzazione. Se il prompt non corrisponde a un tipo di analisi specifico, per impostazione predefinita l'indagine analizza l'account del chiamante.

Di seguito sono riportati alcuni esempi di prompt di attivazione per ogni tipo di analisi:

Creazione di un'indagine per un account membro

Se sei un account amministratore, puoi creare un'indagine per un account membro includendo l'ID dell'account membro nella richiesta di attivazione. Usa l'ID del rilevatore dell'account amministratore nel comando. I risultati dell'indagine conterranno i risultati dell'account membro specificato.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

Nel comando precedente, sostituiscilo detector-id con l'ID del rilevatore del tuo account amministratore. L'ID dell'account a 12 cifre nel prompt di attivazione identifica l'account del membro su cui indagare.

Esegui l'operazione GetInvestigation API per recuperare tutti i dettagli di un'indagine completata.

Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console o esegui l'ListDetectorsAPI.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

Esempio di output per un'indagine completata:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Il Summary campo contiene una stringa JSON con i risultati completi dell'indagine, comprese le osservazioni chiave, le contromisure con i comandi CLI e una valutazione delle minacce MITRE ATT&CK®.

Esegui l'operazione ListInvestigations API per elencare i riepiloghi delle indagini relative a un rilevatore.

Per trovare le detectorId informazioni relative al tuo account e alla regione corrente, consulta la pagina Impostazioni nella https://console.aws.amazon.com/guardduty/console o esegui l'ListDetectorsAPI.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

Puoi ordinare i risultati specificando un --sort-criteria parametro. L'esempio seguente elenca le indagini ordinate per ora di inizio in ordine decrescente:

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

Gli attributi di ordinamento disponibili sonoSTART_TIME,, END_TIMESTATUS, RISK_LEVEL e. CONFIDENCE È possibile ordinare in ordine ASC (crescente) o DESC (decrescente).

Output di esempio:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

Se la risposta include un NextToken valore, passalo in una richiesta successiva per recuperare la pagina successiva di risultati. Puoi recuperare fino a 50 risultati per pagina.