GuardDuty 調査 (プレビュー)

CreateInvestigation API オペレーションを実行して、新しい調査を開始します。ディテクター ID と、調査対象を説明するトリガープロンプトを指定する必要があります。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

前述のコマンドで、 detector-id を独自のディテクター ID に置き換え、 trigger-prompt を調査対象の説明に置き換えます。

必要に応じて、べき等性の--client-tokenパラメータを含めることができます。同じクライアントトークンでリクエストを再試行すると、GuardDuty は重複を作成する代わりに既存の調査を返します。

出力の例:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

トリガープロンプトの要件

トリガープロンプトは、調査対象を記述する必要があります。GuardDuty は、プロンプトの内容に基づいて分析タイプを決定します。

GuardDuty は AI を使用して自由形式のプロンプトを解釈し、適切な分析範囲を決定します。結果 ID を含めると、結果分析が実行されます。アカウント ID を含めると、アカウント分析が実行されます。プロンプトが組織全体の懸念を説明する場合は、組織分析を実行します。プロンプトが特定の分析タイプと一致しない場合、調査はデフォルトで発信者自身のアカウントを分析します。

以下は、各分析タイプのトリガープロンプトの例です。

メンバーアカウントの調査の作成

管理者アカウントの場合は、トリガープロンプトにメンバーアカウント ID を含めることで、メンバーアカウントの調査を作成できます。コマンドで管理者アカウントのディテクター ID を使用します。調査結果には、指定されたメンバーアカウントの結果が含まれます。

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

前述のコマンドで、 detector-id を管理者アカウントのディテクター ID に置き換えます。トリガープロンプトの 12 桁のアカウント ID は、調査するメンバーアカウントを識別します。

GetInvestigation API オペレーションを実行して、完了した調査の完全な詳細を取得します。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

完了した調査の出力例:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Summary フィールドには、主要な観測結果、CLI コマンドによる対策、MITRE ATT&CK® 脅威評価など、完全な調査結果を含む JSON 文字列が含まれています。

ListInvestigations API オペレーションを実行して、ディテクターの調査概要を一覧表示します。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

--sort-criteria パラメータを指定して結果をソートできます。次の の例では、開始時刻でソートされた調査を降順で一覧表示します。

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

使用可能なソート属性は、START_TIME、、END_TIMESTATUS、RISK_LEVEL、および ですCONFIDENCE。(昇順) または ASC (DESC降順) でソートできます。

出力の例:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

レスポンスにNextToken値が含まれている場合は、後続のリクエストに渡して結果の次のページを取得します。1 ページあたり最大 50 件の結果を取得できます。