GuardDuty exemples utilisant AWS CLI

Pour accepter une invitation à devenir GuardDuty membre dans la région actuelle

L'accept-invitationexemple suivant montre comment accepter une invitation à devenir un compte GuardDuty membre dans la région actuelle.

aws guardduty accept-invitation  \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --master-id 123456789111 \
    --invitation-id d6b94fb03a66ff665f7db8764example

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le Guide de GuardDuty l'utilisateur.

Pour archiver les résultats dans la région actuelle

Cet archive-findings exemple montre comment archiver les résultats dans la région actuelle.

aws guardduty archive-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-ids d6b94fb03a66ff665f7db8764example 3eb970e0de00c16ec14e6910fexample

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Création de règles de suppression dans le Guide de GuardDuty l'utilisateur.

Pour activer GuardDuty dans la région actuelle

Cet exemple montre comment créer un nouveau détecteur, qui active GuardDuty, dans la région actuelle. :

aws guardduty create-detector \
    --enable

Sortie :

{
    "DetectorId": "b6b992d6d2f48e64bc59180bfexample"
}

Pour plus d'informations, consultez la section Activer Amazon GuardDuty dans le guide de GuardDuty l'utilisateur.

Exemple 1 : pour créer un nouveau filtre dans la région actuelle

L'create-filterexemple suivant crée un filtre qui correspond à tous les résultats de Portscan, créés par exemple à partir d'une image spécifique. Cela ne supprime pas ces résultats.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myFilterExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Sortie :

{
    "Name": "myFilterExample"
}

Pour plus d'informations, consultez la section GuardDuty Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Exemple 2 : pour créer un nouveau filtre et supprimer les résultats dans la région actuelle

L'create-filterexemple suivant crée un filtre qui correspond à tous les résultats de Portscan, créés par exemple à partir d'une image spécifique. Ce filtre archive ces résultats afin qu'ils n'apparaissent pas dans vos résultats actuels.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --action ARCHIVE \
    --name myFilterSecondExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Sortie :

{
    "Name": "myFilterSecondExample"
}

Pour plus d'informations, consultez la section GuardDuty Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Pour créer et activer un ensemble d'adresses IP fiables

L'create-ip-setexemple suivant crée et active un ensemble d'adresses IP fiables dans la région actuelle.

aws guardduty create-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --name new-ip-set-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/customtrustlist.csv \
    --activate

Sortie :

{
    "IpSetId": "d4b94fc952d6912b8f3060768example"
}

Pour plus d'informations, consultez la section Utilisation de listes d'adresses IP fiables et de listes de menaces dans le guide de GuardDuty l'utilisateur.

Pour associer un nouveau membre à votre compte GuardDuty principal dans la région actuelle.

Cet exemple montre comment associer des comptes de membres à gérer par le compte courant en tant que compte GuardDuty principal.

aws guardduty create-members
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --account-details AccountId=111122223333,Email=first+member@example.com AccountId=111111111111 ,Email=another+member@example.com

Sortie :

{
   "UnprocessedAccounts": []
}

Pour plus d'informations, consultez la section Gestion de plusieurs comptes dans le Guide de GuardDuty l'utilisateur.

Pour créer une destination de publication vers laquelle exporter GuardDuty les résultats de la région actuelle.

L'create-publishing-destinationexemple suivant montre comment configurer une destination de publication pour exporter les GuardDuty résultats actuels (et non archivés) afin de suivre les données des résultats historiques.

aws guardduty create-publishing-destination \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --destination-type S3 \
    --destination-properties 'DestinationArn=arn:aws:s3:::amzn-s3-demo-bucket,KmsKeyArn=arn:aws:kms:us-west-1:111122223333:key/84cee9c5-dea1-401a-ab6d-e1de7example'

Sortie :

{
    "DestinationId": "46b99823849e1bbc242dfbe3cexample"
}

Pour plus d'informations, consultez la section Exportation des GuardDuty résultats générés vers des compartiments Amazon S3 dans le guide de l'GuardDuty utilisateur.

Pour créer des échantillons de GuardDuty résultats dans la région actuelle.

Cet exemple montre comment créer un exemple de recherche parmi les types fournis.

aws guardduty create-sample-findings \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --finding-types UnauthorizedAccess:EC2/TorClient UnauthorizedAccess:EC2/TorRelay

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Exemples de résultats dans le guide de GuardDuty l'utilisateur.

Pour créer et activer un nouvel ensemble d'informations sur les menaces

L'create-threat-intel-setexemple suivant crée et active un ensemble d'informations sur les menaces dans la région actuelle.

aws guardduty create-threat-intel-set \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myThreatSet-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/threatlist.csv \
    --activate

Sortie :

{
    "ThreatIntelSetId": "20b9a4691aeb33506b808878cexample"
}

Pour plus d'informations, consultez la section Utilisation de listes d'adresses IP fiables et de listes de menaces dans le guide de GuardDuty l'utilisateur.

Pour refuser une invitation à faire gérer Guardduty par un autre compte dans la région actuelle.

Cet exemple montre comment refuser une invitation d'adhésion.

aws guardduty decline-invitations \
    --account-ids 111122223333

Sortie :

{
    "UnprocessedAccounts": []
}

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le Guide de GuardDuty l'utilisateur.

Pour supprimer un détecteur et le désactiver GuardDuty dans la région actuelle.

Cet exemple montre comment supprimer un détecteur. En cas de succès, cela sera désactivé GuardDuty dans la région associée à ce détecteur.

aws guardduty delete-detector \
    --detector-id b6b992d6d2f48e64bc59180bfexample

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Suspension ou désactivation GuardDuty dans le guide de l'GuardDuty utilisateur.

Pour supprimer un filtre existant dans la région actuelle

Cet exemple montre comment créer et supprimer un filtre.

aws guardduty delete-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --filter-name byebyeFilter

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Pour supprimer un compte en tant qu'administrateur délégué au GuardDuty sein de votre organisation

Cet exemple montre comment supprimer un compte en tant qu'administrateur délégué pour GuardDuty.

aws guardduty disable-organization-admin-account \
    --admin-account-id 111122223333

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Gestion des comptes auprès AWS des organisations dans le Guide de GuardDuty l'utilisateur.

Pour vous dissocier de votre compte administrateur actuel dans la région actuelle

L'disassociate-from-master-accountexemple suivant dissocie votre compte du compte GuardDuty administrateur actuel dans la AWS région actuelle.

aws guardduty disassociate-from-master-account \
    --detector-id d4b040365221be2b54a6264dcexample

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Pour récupérer les détails d'un détecteur spécifique

L'get-detectorexemple suivant affiche les détails de configuration du détecteur spécifié.

aws guardduty get-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "Status": "ENABLED",
    "ServiceRole": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
    "Tags": {},
    "FindingPublishingFrequency": "SIX_HOURS",
    "UpdatedAt": "2018-11-07T03:24:22.938Z",
    "CreatedAt": "2017-12-22T22:51:31.940Z"
}

Pour plus d'informations, consultez la section Concepts et terminologie du guide de GuardDuty l'utilisateur.

Exemple 1 : Pour récupérer les détails d'un résultat spécifique

L'get-findingsexemple suivant récupère les détails complets de la recherche JSON de la recherche spécifiée.

aws guardduty get-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-id 1ab92989eaf0e742df4a014d5example

Sortie :

{
    "Findings": [
        {
            "Resource": {
                "ResourceType": "AccessKey",
                "AccessKeyDetails": {
                    "UserName": "testuser",
                    "UserType": "IAMUser",
                    "PrincipalId": "AIDACKCEVSQ6C2EXAMPLE",
                    "AccessKeyId": "ASIASZ4SI7REEEXAMPLE"
                }
            },
            "Description": "APIs commonly used to discover the users, groups, policies and permissions in an account, was invoked by IAM principal testuser under unusual circumstances. Such activity is not typically seen from this principal.",
            "Service": {
                "Count": 5,
                "Archived": false,
                "ServiceName": "guardduty",
                "EventFirstSeen": "2020-05-26T22:02:24Z",
                "ResourceRole": "TARGET",
                "EventLastSeen": "2020-05-26T22:33:55Z",
                "DetectorId": "d4b040365221be2b54a6264dcexample",
                "Action": {
                    "ActionType": "AWS_API_CALL",
                    "AwsApiCallAction": {
                        "RemoteIpDetails": {
                            "GeoLocation": {
                                "Lat": 51.5164,
                                "Lon": -0.093
                            },
                            "City": {
                                "CityName": "London"
                            },
                            "IpAddressV4": "52.94.36.7",
                            "Organization": {
                                "Org": "Amazon.com",
                                "Isp": "Amazon.com",
                                "Asn": "16509",
                                "AsnOrg": "AMAZON-02"
                            },
                            "Country": {
                                "CountryName": "United Kingdom"
                            }
                        },
                        "Api": "ListPolicyVersions",
                        "ServiceName": "iam.amazonaws.com",
                        "CallerType": "Remote IP"
                    }
                }
            },
            "Title": "Unusual user permission reconnaissance activity by testuser.",
            "Type": "Recon:IAMUser/UserPermissions",
            "Region": "us-east-1",
            "Partition": "aws",
            "Arn": "arn:aws:guardduty:us-east-1:111122223333:detector/d4b040365221be2b54a6264dcexample/finding/1ab92989eaf0e742df4a014d5example",
            "UpdatedAt": "2020-05-26T22:55:21.703Z",
            "SchemaVersion": "2.0",
            "Severity": 5,
            "Id": "1ab92989eaf0e742df4a014d5example",
            "CreatedAt": "2020-05-26T22:21:48.385Z",
            "AccountId": "111122223333"
        }
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Pour répertorier, obtenir des informations sur un ensemble d'adresses IP fiables spécifié

L'get-ip-setexemple suivant montre le statut et les détails de l'ensemble d'adresses IP fiables spécifié.

aws guardduty get-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example

Sortie :

{
    "Status": "ACTIVE",
    "Location": "s3://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customlist.csv",
    "Tags": {},
    "Format": "TXT",
    "Name": "test-ip-set-example"
}

Pour plus d'informations, consultez la section Utilisation de listes d'adresses IP fiables et de listes de menaces dans le guide de GuardDuty l'utilisateur.

Pour récupérer les informations relatives à votre compte principal dans la région actuelle

L'get-master-accountexemple suivant affiche le statut et les détails du compte principal associé à votre détecteur dans la région actuelle.

aws guardduty get-master-account \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "Master": {
        "InvitationId": "04b94d9704854a73f94e061e8example",
        "InvitedAt": "2020-06-09T22:23:04.970Z",
        "RelationshipStatus": "Enabled",
        "AccountId": "111122223333"
    }
}

Pour plus d'informations, voir Comprendre la relation entre le compte GuardDuty administrateur et le compte membre dans le Guide de GuardDuty l'utilisateur.

Pour répertorier les détecteurs disponibles dans la région actuelle

L'list-detectorsexemple suivant répertorie les détecteurs disponibles dans votre AWS région actuelle.

aws guardduty list-detectors

Sortie :

{
    "DetectorIds": [
        "12abc34d567e8fa901bc2d34eexample"
    ]
}

Pour plus d'informations, consultez la section Concepts et terminologie du guide de GuardDuty l'utilisateur.

Exemple 1 : pour répertorier tous les résultats de la région actuelle

L'list-findingsexemple suivant affiche une liste de tous les FindingID pour la région actuelle, triés par gravité du plus élevé au plus faible.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --sort-criteria '{"AttributeName": "severity","OrderBy":"DESC"}'

Sortie :

{
    "FindingIds": [
        "04b8ab50fd29c64fc771b232dexample",
        "5ab8ab50fd21373735c826d3aexample",
        "90b93de7aba69107f05bbe60bexample",
        ...
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Exemple 2 : Pour répertorier les résultats de la région actuelle correspondant à un critère de recherche spécifique

L'list-findingsexemple suivant affiche une liste de tous les FindingID correspondant à un type de recherche spécifié.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  '{"Criterion":{"type": {"Eq":["UnauthorizedAccess:EC2/SSHBruteForce"]}}}'

Sortie :

{
    "FindingIds": [
        "90b93de7aba69107f05bbe60bexample",
        "6eb9430d7023d30774d6f05e3example",
        "2eb91a2d060ac9a21963a5848example",
        "44b8ab50fd2b0039a9e48f570example",
        "9eb8ab4cd2b7e5b66ba4f5e96example",
        "e0b8ab3a38e9b0312cc390ceeexample"
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Exemple 3 : pour répertorier les résultats de la région actuelle correspondant à un ensemble spécifique de critères de recherche définis dans un fichier JSON

L'list-findingsexemple suivant affiche une liste de tous les FindingID qui ne sont pas archivés et impliquent l'utilisateur IAM nommé « testuser », tel que spécifié dans un fichier JSON.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  file://myfile.json

Contenu de myfile.json :

{"Criterion": {
    "resource.accessKeyDetails.userName":{
                "Eq":[
                    "testuser"
                    ]
                },
    "service.archived": {
                "Eq": [
                    "false"
                ]
            }
        }
}

Sortie :

{
    "FindingIds": [
        "1ab92989eaf0e742df4a014d5example"
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Pour répertorier les détails de vos invitations à devenir membre dans la région actuelle

L'list-invitationsexemple suivant répertorie les détails et les statuts de vos invitations à devenir GuardDuty membre dans la région actuelle.

aws guardduty list-invitations

Sortie :

{
    "Invitations": [
        {
            "InvitationId": "d6b94fb03a66ff665f7db8764example",
            "InvitedAt": "2020-06-10T17:56:38.221Z",
            "RelationshipStatus": "Invited",
            "AccountId": "123456789111"
        }
    ]
}

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le guide de GuardDuty l'utilisateur.

Pour répertorier les ensembles d'adresses IP fiables dans la région actuelle

L'list-ip-setsexemple suivant répertorie les ensembles d'adresses IP fiables de votre AWS région actuelle.

aws guardduty list-ip-sets \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "IpSetIds": [
        "d4b94fc952d6912b8f3060768example"
    ]
}

Pour plus d'informations, consultez la section Utilisation de listes d'adresses IP fiables et de listes de menaces dans le guide de GuardDuty l'utilisateur.

Exemple 1 : pour répertorier uniquement les membres actuels de la région actuelle

L'list-membersexemple suivant répertorie et fournit des détails uniquement sur les comptes de membres actuels associés au compte d' GuardDuty administrateur, dans la région actuelle.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="true"

Sortie :

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+member@example.com",
            "AccountId": "123456789012"
        }
    ]
}

Pour plus d'informations, consultez la section Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Exemple 2 : pour répertorier tous les membres de la région actuelle

L'list-membersexemple suivant répertorie et fournit des détails sur tous les comptes de membres, y compris ceux qui ont été dissociés ou qui n'ont pas encore accepté l'invitation de l' GuardDuty administrateur, dans la région actuelle.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="false"

Sortie :

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+other+member@example.com",
            "AccountId": "555555555555"
        }
    ]
}

Pour plus d'informations, consultez la section Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Pour mettre à jour un ensemble d'adresses IP fiables

L'update-ip-setexemple suivant montre comment mettre à jour les détails d'un ensemble d'adresses IP fiables.

aws guardduty update-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example \
    --location https://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customtrustlist2.csv

Cette commande ne produit aucun résultat.

Pour plus d'informations, consultez la section Utilisation de listes d'adresses IP fiables et de listes de menaces dans le guide de GuardDuty l'utilisateur.