GuardDuty 調查 （預覽）

執行 CreateInvestigation API 操作以開始新的調查。您必須提供偵測器 ID 和觸發提示，說明要調查的內容。

若要尋找detectorId您帳戶和目前區域的 ，請參閱 https://console.aws.amazon.com/guardduty/ 主控台中的設定頁面，或執行 ListDetectors API。

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012"

在上述命令中，將 detector-id 取代為您自己的偵測器 ID，並將 trigger-prompt 取代為您要調查的內容描述。

您可以選擇性地包含冪等性的--client-token參數。如果您使用相同的用戶端字符重試請求，GuardDuty 會傳回現有的調查，而不是建立重複的調查。

輸出範例：

{
    "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890"
}

觸發提示要求

觸發條件提示必須描述要調查的內容。GuardDuty 會根據您的提示內容來決定分析類型：

GuardDuty 使用 AI 解譯您的自由格式提示，並判斷適當的分析範圍。如果您包含問題清單 ID，則會執行問題清單分析。如果您包含帳戶 ID，則會執行帳戶分析。如果您的提示說明整個組織的考量，則會執行組織分析。如果提示不符合特定分析類型，調查會預設為分析發起人自己的帳戶。

以下是每個分析類型的觸發提示範例：

為成員帳戶建立調查

如果您是管理員帳戶，您可以在觸發提示中包含成員帳戶 ID，為成員帳戶建立調查。在 命令中使用管理員帳戶的偵測器 ID。調查結果將包含來自指定成員帳戶的調查結果。

aws guardduty create-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --trigger-prompt "Analyze findings in account with id 111122223333"

在上述命令中，將 detector-id 取代為您的管理員帳戶的偵測器 ID。觸發提示中的 12 位數帳戶 ID 會識別要調查的成員帳戶。

執行 GetInvestigation API 操作以擷取已完成調查的完整詳細資訊。

若要尋找detectorId您帳戶和目前區域的 ，請參閱 https：//https://console.aws.amazon.com/guardduty/ 主控台中的設定頁面，或執行 ListDetectors API。

aws guardduty get-investigation \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --investigation-id a1b2c3d4-5678-90ab-cdef-ef1234567890

已完成調查的範例輸出：

{
    "Investigation": {
        "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
        "Status": "COMPLETED",
        "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
        "TriggeredBy": "123456789012",
        "RiskLevel": "Critical",
        "Risk": "Detection logic is valid but no live resources are compromised.",
        "Confidence": "High",
        "Summary": "{\"keyObservations\":{\"title\":\"...\",\"narrative\":\"...\",\"observations\":[...]},\"countermeasures\":[...],\"threatAssessment\":{...}}",
        "Cloud": {
            "Provider": "AWS",
            "Region": "us-east-1",
            "Account": "123456789012"
        },
        "Metadata": {
            "Product": {
                "Name": "Amazon GuardDuty AI Analyst",
                "Feature": "Investigation"
            },
            "Version": "1.0.0"
        },
        "StartTime": 1705319400.0,
        "EndTime": 1705319700.0
    }
}

Summary 欄位包含具有完整調查結果的 JSON 字串，包括金鑰觀察、使用 CLI 命令的對策，以及 MITRE ATT&CK® 威脅評估。

執行 ListInvestigations API 操作以列出偵測器的調查摘要。

若要尋找detectorId您帳戶和目前區域的 ，請參閱 https://console.aws.amazon.com/guardduty/ 主控台中的設定頁面，或執行 ListDetectors API。

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --max-results 10

您可以透過指定--sort-criteria參數來排序結果。下列範例列出依開始時間以遞減順序排序的調查：

aws guardduty list-investigations \
    --detector-id 2cb3d4e5f6a7b8c9d0e1f2a3b4c5d6e7 \
    --sort-criteria '{"attributeName": "START_TIME", "orderBy": "DESC"}' \
    --max-results 10

可用的排序屬性為 START_TIME、END_TIME、RISK_LEVEL、 STATUS和 CONFIDENCE。您可以依 ASC（遞增） 或 DESC（遞減） 順序排序。

輸出範例：

{
    "Investigations": [
        {
            "InvestigationId": "a1b2c3d4-5678-90ab-cdef-ef1234567890",
            "Status": "COMPLETED",
            "TriggerPrompt": "Investigate finding 1ab2c3d4e5f6a7b8c9d0e1f2a3b4c5d6 in account 123456789012",
            "RiskLevel": "Critical",
            "Confidence": "High",
            "StartTime": 1705319400.0,
            "EndTime": 1705319700.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "b2c3d4e5-6789-01bc-def0-ef2345678901",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in account with id 123456789012",
            "RiskLevel": "High",
            "Confidence": "High",
            "StartTime": 1705315800.0,
            "EndTime": 1705316100.0,
            "AccountId": "123456789012"
        },
        {
            "InvestigationId": "c3d4e5f6-7890-12cd-ef01-ef3456789012",
            "Status": "COMPLETED",
            "TriggerPrompt": "Analyze findings in my organization",
            "RiskLevel": "Medium",
            "Confidence": "Medium",
            "StartTime": 1705312200.0,
            "EndTime": 1705312500.0,
            "AccountId": "123456789012"
        }
    ]
}

如果回應包含值，請在後續請求中傳遞該NextToken值，以擷取結果的下一頁。每個頁面最多可以擷取 50 個結果。