GuardDuty 조사(미리 보기)

CreateInvestigation API 작업을 실행하여 새 조사를 시작합니다. 탐지기 ID와 조사 대상을 설명하는 트리거 프롬프트를 제공해야 합니다.

계정 및 현재 리전에 대한 detectorId를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나 ListDetectors API를 실행합니다.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

앞의 명령에서 detector-id를 자체 감지기 ID로 바꾸고 trigger-prompt를 조사하려는 항목에 대한 설명으로 바꿉니다.

선택적으로 멱등성을 위한 --client-token 파라미터를 포함할 수 있습니다. 동일한 클라이언트 토큰으로 요청을 재시도하면 GuardDuty는 중복을 생성하는 대신 기존 조사를 반환합니다.

출력 예시:

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

트리거 프롬프트 요구 사항

트리거 프롬프트는 조사 대상을 설명해야 합니다. GuardDuty는 프롬프트의 내용을 기반으로 분석 유형을 결정합니다.

GuardDuty는 AI를 사용하여 자유 형식 프롬프트를 해석하고 적절한 분석 범위를 결정합니다. 조사 결과 ID를 포함하면 조사 결과 분석이 수행됩니다. 계정 ID를 포함하면 계정 분석이 수행됩니다. 프롬프트가 조직 전체의 문제를 설명하는 경우 조직 분석을 수행합니다. 프롬프트가 특정 분석 유형과 일치하지 않는 경우 조사는 기본적으로 호출자의 자체 계정을 분석합니다.

다음은 각 분석 유형에 대한 트리거 프롬프트의 예입니다.

멤버 계정에 대한 조사 생성

관리자 계정인 경우 트리거 프롬프트에 멤버 계정 ID를 포함하여 멤버 계정에 대한 조사를 생성할 수 있습니다. 명령에서 관리자 계정의 감지기 ID를 사용합니다. 조사 결과에는 지정된 멤버 계정의 조사 결과가 포함됩니다.

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

앞의 명령에서 detector-id를 관리자 계정의 감지기 ID로 바꿉니다. 트리거 프롬프트의 12자리 계정 ID는 조사할 멤버 계정을 식별합니다.

GetInvestigation API 작업을 실행하여 완료된 조사의 전체 세부 정보를 검색합니다.

계정 및 현재 리전에 대한 detectorId를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나 ListDetectors API를 실행합니다.

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

완료된 조사의 출력 예제:

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Summary 필드에는 주요 관찰, CLI 명령을 사용한 대응, MITRE ATT&CK® 위협 평가를 포함한 전체 조사 결과가 포함된 JSON 문자열이 포함되어 있습니다.

ListInvestigations API 작업을 실행하여 탐지기에 대한 조사 요약을 나열합니다.

계정 및 현재 리전에 대한 detectorId를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나 ListDetectors API를 실행합니다.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

--sort-criteria 파라미터를 지정하여 결과를 정렬할 수 있습니다. 다음 예제에서는 시작 시간을 기준으로 정렬된 조사를 내림차순으로 나열합니다.

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

사용 가능한 정렬 속성은 START_TIME, END_TIME, STATUS, RISK_LEVEL및 입니다CONFIDENCE. ASC (오름차순) 또는 DESC (내림차순) 순서로 정렬할 수 있습니다.

출력 예시:

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

응답에 NextToken 값이 포함된 경우 후속 요청에 전달하여 결과의 다음 페이지를 검색합니다. 페이지당 최대 50개의 결과를 검색할 수 있습니다.