GuardDuty 调查（预览）

运行 CreateInvestigation API 操作开始新的调查。您必须提供探测器 ID 和描述要调查的内容的触发器提示。

要查找您的账户和当前区域的，请查看https://console.aws.amazon.com/guardduty/控制台中的 “设置” 页面，或者运行 ListDetectorsAPI。detectorId

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

在前面的命令中，将detector-id替换为您自己的探测器 ID 和trigger-prompt您要调查的内容的描述。

您可以选择为等性添加--client-token参数。如果您使用相同的客户端令牌重试请求，则 GuardDuty 返回现有调查，而不是创建重复的调查。

输出示例：

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

触发器提示要求

触发提示必须描述要调查的内容。 GuardDuty 根据提示内容确定分析类型：

GuardDuty 使用 AI 来解释您的自由格式提示并确定适当的分析范围。如果包含查找 ID，则它会执行查找结果分析。如果您包含账户 ID，则它会执行账户分析。如果您的提示描述了整个组织的问题，则它会执行组织分析。如果提示与特定的分析类型不匹配，则调查默认为分析来电者自己的账户。

以下是每种分析类型的触发提示示例：

为成员账户创建调查

如果您是管理员帐户，则可以通过在触发提示中包含成员账户 ID 来创建对成员账户的调查。在命令中使用管理员帐户的探测器 ID。调查结果将包含来自指定成员账户的调查结果。

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

在前面的命令中，将detector-id替换为管理员帐户的检测器 ID。触发提示中的 12 位数账户 ID 用于标识要调查的成员账户。

运行 GetInvestigation API 操作以检索已完成调查的完整详细信息。

要查找您的账户和当前区域的，请查看https://console.aws.amazon.com/guardduty/控制台中的 “设置” 页面，或者运行 ListDetectorsAPI。detectorId

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

已完成调查的输出示例：

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

该Summary字段包含包含完整调查结果的 JSON 字符串，包括关键观察结果、使用 CLI 命令的对策以及 MITRE ATT&CK® 威胁评估。

运行 ListInvestigations API 操作以列出探测器的调查摘要。

要查找您的账户和当前区域的，请查看https://console.aws.amazon.com/guardduty/控制台中的 “设置” 页面，或者运行 ListDetectorsAPI。detectorId

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

您可以通过指定--sort-criteria参数对结果进行排序。以下示例列出了按开始时间降序排序的调查：

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

可用的排序属性有START_TIMEEND_TIME、STATUS、RISK_LEVEL、和CONFIDENCE。您可以按ASC（升序）或DESC（降序）顺序排序。

输出示例：

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

如果响应中包含一个NextToken值，则在后续请求中传递该值以检索下一页的结果。每页最多可以检索 50 个结果。