Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Amazon GuardDuty
Weitere Informationen zu Amazon GuardDuty finden Sie im GuardDuty Amazon-Benutzerhandbuch.
Voraussetzungen
-
Aktivieren Sie die GuardDuty Funktion zum Exportieren von Ergebnissen nach Amazon S3. Eine Anleitung dazu finden Sie unter Ergebnisse exportieren im GuardDuty Amazon-Benutzerhandbuch.
Erstellen Sie in Athena eine Tabelle für Ergebnisse GuardDuty
Um Ihre GuardDuty Ergebnisse von Athena abzufragen, müssen Sie eine Tabelle für sie erstellen.
Um in Athena eine Tabelle für GuardDuty Ergebnisse zu erstellen
Öffnen Sie die Athena-Konsole unter https://console.aws.amazon.com/athena/
. -
Fügen Sie die folgende DDL Anweisung in die Athena-Konsole ein. Ändern Sie die Werte so
LOCATION 's3://amzn-s3-demo-bucket, dass sie auf Ihre GuardDuty Ergebnisse in Amazon S3 verweisen./AWSLogs/account-id/GuardDuty/'CREATE EXTERNAL TABLE `gd_logs` ( `schemaversion` string, `accountid` string, `region` string, `partition` string, `id` string, `arn` string, `type` string, `resource` string, `service` string, `severity` string, `createdat` string, `updatedat` string, `title` string, `description` string) ROW FORMAT SERDE 'org.openx.data.jsonserde.JsonSerDe' LOCATION 's3://amzn-s3-demo-bucket/AWSLogs/account-id/GuardDuty/' TBLPROPERTIES ('has_encrypted_data'='true')Anmerkung
Das SerDe erwartet, dass sich jedes JSON Dokument in einer einzigen Textzeile ohne Zeilenabschlusszeichen befindet, die die Felder im Datensatz voneinander trennen. Wenn der JSON Text ein hübsches Druckformat hat, erhalten Sie möglicherweise eine Fehlermeldung wie
HIVE_ CURSOR _ERROR: Zeile ist kein gültiges JSON ObjektoderHIVE_ CURSOR _ERROR:: Unerwartet JsonParseException end-of-input: erwartetes Schließzeichen für OBJECTden Versuch, die Tabelle abzufragen, nachdem Sie sie erstellt haben. Weitere Informationen finden Sie unter JSONDatendateienin der SerDe OpenX-Dokumentation von. GitHub -
Führen Sie die Abfrage in der Athena-Konsole aus, um die
gd_logs-Tabelle zu registrieren. Wenn die Abfrage abgeschlossen ist, können Sie die Ergebnisse aus Athena abfragen.
Beispielabfragen
Die folgenden Beispiele zeigen, wie GuardDuty Ergebnisse von Athena abgefragt werden.
Beispiel — DNS Datenexfiltration
Die folgende Abfrage gibt Informationen über EC2 Amazon-Instances zurück, die möglicherweise Daten über DNS Abfragen exfiltrieren.
SELECT
title,
severity,
type,
id AS FindingID,
accountid,
region,
createdat,
updatedat,
json_extract_scalar(service, '$.count') AS Count,
json_extract_scalar(resource, '$.instancedetails.instanceid') AS InstanceID,
json_extract_scalar(service, '$.action.actiontype') AS DNS_ActionType,
json_extract_scalar(service, '$.action.dnsrequestaction.domain') AS DomainName,
json_extract_scalar(service, '$.action.dnsrequestaction.protocol') AS protocol,
json_extract_scalar(service, '$.action.dnsrequestaction.blocked') AS blocked
FROM gd_logs
WHERE type = 'Trojan:EC2/DNSDataExfiltration'
ORDER BY severity DESCBeispiel — Unbefugter Benutzerzugriff IAM
Die folgende Abfrage gibt alle UnauthorizedAccess:IAMUser Suchtypen für einen IAM Principal aus allen Regionen zurück.
SELECT title,
severity,
type,
id,
accountid,
region,
createdat,
updatedat,
json_extract_scalar(service, '$.count') AS Count,
json_extract_scalar(resource, '$.accesskeydetails.username') AS IAMPrincipal,
json_extract_scalar(service,'$.action.awsapicallaction.api') AS APIActionCalled
FROM gd_logs
WHERE type LIKE '%UnauthorizedAccess:IAMUser%'
ORDER BY severity desc;Tipps zum Abfragen GuardDuty von Ergebnissen
Beachten Sie beim Erstellen der Abfrage die folgenden Punkte.
-
Verwenden Sie die Funktionen Presto
json_extractoder, um Daten aus verschachtelten JSON Feldern zu extrahieren.json_extract_scalarWeitere Informationen finden Sie unter Extrahieren Sie JSON Daten aus Zeichenketten. -
Stellen Sie sicher, dass alle Zeichen in den JSON Feldern in Kleinbuchstaben geschrieben sind.
-
Hinweise zum Herunterladen von Abfrageergebnissen finden Sie unter Laden Sie die Dateien mit den Abfrageergebnissen über die Athena-Konsole herunter.
