GuardDuty exemples utilisant AWS CLI

Pour accepter une invitation à devenir GuardDuty membre dans la région actuelle

L'accept-invitationexemple suivant montre comment accepter une invitation à devenir GuardDuty membre dans la région actuelle.

aws guardduty accept-invitation  \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --master-id 123456789111 \
    --invitation-id d6b94fb03a66ff665f7db8764example

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le Guide de GuardDuty l'utilisateur.

Pour archiver les résultats dans la région actuelle

Cet exemple archive-findings montre comment archiver les résultats dans la région actuelle.

aws guardduty archive-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-ids d6b94fb03a66ff665f7db8764example 3eb970e0de00c16ec14e6910fexample

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Création de règles de suppression dans le Guide de GuardDuty l'utilisateur.

Pour activer GuardDuty dans la région actuelle

Cet exemple montre comment créer un nouveau détecteur, qui active GuardDuty, dans la région actuelle. :

aws guardduty create-detector \
    --enable

Sortie :

{
    "DetectorId": "b6b992d6d2f48e64bc59180bfexample"
}

Pour plus d'informations, consultez la section Activer Amazon GuardDuty dans le Guide de GuardDuty l'utilisateur.

Exemple 1 : pour créer un filtre dans la région actuelle

L’exemple create-filter suivant crée un filtre qui correspond à tous les résultats de Portscan pour une instance créée à partir d’une image spécifique. Ces résultats ne sont pas supprimés.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myFilterExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Sortie :

{
    "Name": "myFilterExample"
}

Pour plus d'informations, consultez la section GuardDuty Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Exemple 2 : pour créer un filtre et supprimer les résultats dans la région actuelle

L’exemple create-filter suivant crée un filtre qui correspond à tous les résultats de Portscan correspondant à une instance créée à partir d’une image spécifique. Ce filtre archive ces résultats afin qu’ils n’apparaissent pas dans vos résultats actuels.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --action ARCHIVE \
    --name myFilterSecondExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Sortie :

{
    "Name": "myFilterSecondExample"
}

Pour plus d'informations, consultez la section GuardDuty Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Pour créer et activer un ensemble d’adresses IP approuvées

L’exemple create-ip-set suivant crée et active un ensemble d’adresses IP approuvées dans la région actuelle.

aws guardduty create-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --name new-ip-set-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/customtrustlist.csv \
    --activate

Sortie :

{
    "IpSetId": "d4b94fc952d6912b8f3060768example"
}

Pour plus d'informations, consultez la section Utilisation des listes d'adresses IP fiables et des listes de menaces dans le Guide de GuardDuty l'utilisateur.

Associer un nouveau membre à votre compte GuardDuty principal dans la région actuelle.

Cet exemple montre comment associer des comptes de membres à gérer par le compte courant en tant que compte GuardDuty principal.

aws guardduty create-members
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --account-details AccountId=111122223333,Email=first+member@example.com AccountId=111111111111 ,Email=another+member@example.com

Sortie :

{
   "UnprocessedAccounts": []
}

Pour plus d'informations, consultez la section Gestion de plusieurs comptes dans le Guide de GuardDuty l'utilisateur.

Créer une destination de publication vers laquelle exporter GuardDuty les résultats de la région actuelle.

L'create-publishing-destinationexemple suivant montre comment configurer une destination de publication pour exporter les GuardDuty résultats actuels (et non archivés) afin de suivre les données des résultats historiques.

aws guardduty create-publishing-destination \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --destination-type S3 \
    --destination-properties 'DestinationArn=arn:aws:s3:::amzn-s3-demo-bucket,KmsKeyArn=arn:aws:kms:us-west-1:111122223333:key/84cee9c5-dea1-401a-ab6d-e1de7example'

Sortie :

{
    "DestinationId": "46b99823849e1bbc242dfbe3cexample"
}

Pour plus d'informations, consultez la section Exportation des GuardDuty résultats générés vers des compartiments Amazon S3 dans le Guide de l'GuardDuty utilisateur.

Pour créer des échantillons de GuardDuty résultats dans la région actuelle.

Cet exemple montre comment créer un exemple de résultat parmi les types fournis.

aws guardduty create-sample-findings \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --finding-types UnauthorizedAccess:EC2/TorClient UnauthorizedAccess:EC2/TorRelay

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Exemples de résultats dans le Guide de GuardDuty l'utilisateur.

Pour créer et activer un nouvel ensemble d’informations sur les menaces

L’exemple create-threat-intel-set suivant crée et active un ensemble d’informations sur les menaces dans la région actuelle.

aws guardduty create-threat-intel-set \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myThreatSet-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/threatlist.csv \
    --activate

Sortie :

{
    "ThreatIntelSetId": "20b9a4691aeb33506b808878cexample"
}

Pour plus d'informations, consultez la section Utilisation des listes d'adresses IP fiables et des listes de menaces dans le Guide de GuardDuty l'utilisateur.

Pour refuser une invitation à faire gérer GuardDuty par un autre compte dans la région actuelle

Cet exemple montre comment refuser une invitation à devenir membre.

aws guardduty decline-invitations \
    --account-ids 111122223333

Sortie :

{
    "UnprocessedAccounts": []
}

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le Guide de GuardDuty l'utilisateur.

Supprimer et désactiver GuardDuty un détecteur dans la région actuelle.

Cet exemple montre comment supprimer un détecteur. En cas de succès, cette opération sera GuardDuty désactivée dans la région associée à ce détecteur.

aws guardduty delete-detector \
    --detector-id b6b992d6d2f48e64bc59180bfexample

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Suspension ou désactivation GuardDuty dans le Guide de l'GuardDuty utilisateur.

Pour supprimer un filtre existant dans la région actuelle

Cet exemple explique comment créer et supprimer un filtre.

aws guardduty delete-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --filter-name byebyeFilter

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Résultats du filtrage dans le Guide de GuardDuty l'utilisateur.

Pour supprimer un compte en tant qu'administrateur délégué au GuardDuty sein de votre organisation

Cet exemple montre comment supprimer un compte en tant qu'administrateur délégué pour GuardDuty.

aws guardduty disable-organization-admin-account \
    --admin-account-id 111122223333

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Gestion des comptes auprès AWS des organisations dans le Guide de GuardDuty l'utilisateur.

Pour vous dissocier de votre compte administrateur actuel dans la région actuelle

L'disassociate-from-master-accountexemple suivant dissocie votre compte du compte GuardDuty administrateur actuel dans la AWS région actuelle.

aws guardduty disassociate-from-master-account \
    --detector-id d4b040365221be2b54a6264dcexample

Cette commande ne produit aucune sortie.

Pour plus d'informations, voir Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Pour extraire les détails d’un détecteur spécifique

L’exemple get-detector suivant affiche les détails de configuration du détecteur spécifié.

aws guardduty get-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "Status": "ENABLED",
    "ServiceRole": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
    "Tags": {},
    "FindingPublishingFrequency": "SIX_HOURS",
    "UpdatedAt": "2018-11-07T03:24:22.938Z",
    "CreatedAt": "2017-12-22T22:51:31.940Z"
}

Pour plus d'informations, consultez la section Concepts et terminologie du Guide de GuardDuty l'utilisateur.

Exemple 1 : pour extraire les détails d’un résultat spécifique

L’exemple get-findings suivant extrait les détails complets du résultat JSON spécifié.

aws guardduty get-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-id 1ab92989eaf0e742df4a014d5example

Sortie :

{
    "Findings": [
        {
            "Resource": {
                "ResourceType": "AccessKey",
                "AccessKeyDetails": {
                    "UserName": "testuser",
                    "UserType": "IAMUser",
                    "PrincipalId": "AIDACKCEVSQ6C2EXAMPLE",
                    "AccessKeyId": "ASIASZ4SI7REEEXAMPLE"
                }
            },
            "Description": "APIs commonly used to discover the users, groups, policies and permissions in an account, was invoked by IAM principal testuser under unusual circumstances. Such activity is not typically seen from this principal.",
            "Service": {
                "Count": 5,
                "Archived": false,
                "ServiceName": "guardduty",
                "EventFirstSeen": "2020-05-26T22:02:24Z",
                "ResourceRole": "TARGET",
                "EventLastSeen": "2020-05-26T22:33:55Z",
                "DetectorId": "d4b040365221be2b54a6264dcexample",
                "Action": {
                    "ActionType": "AWS_API_CALL",
                    "AwsApiCallAction": {
                        "RemoteIpDetails": {
                            "GeoLocation": {
                                "Lat": 51.5164,
                                "Lon": -0.093
                            },
                            "City": {
                                "CityName": "London"
                            },
                            "IpAddressV4": "52.94.36.7",
                            "Organization": {
                                "Org": "Amazon.com",
                                "Isp": "Amazon.com",
                                "Asn": "16509",
                                "AsnOrg": "AMAZON-02"
                            },
                            "Country": {
                                "CountryName": "United Kingdom"
                            }
                        },
                        "Api": "ListPolicyVersions",
                        "ServiceName": "iam.amazonaws.com",
                        "CallerType": "Remote IP"
                    }
                }
            },
            "Title": "Unusual user permission reconnaissance activity by testuser.",
            "Type": "Recon:IAMUser/UserPermissions",
            "Region": "us-east-1",
            "Partition": "aws",
            "Arn": "arn:aws:guardduty:us-east-1:111122223333:detector/d4b040365221be2b54a6264dcexample/finding/1ab92989eaf0e742df4a014d5example",
            "UpdatedAt": "2020-05-26T22:55:21.703Z",
            "SchemaVersion": "2.0",
            "Severity": 5,
            "Id": "1ab92989eaf0e742df4a014d5example",
            "CreatedAt": "2020-05-26T22:21:48.385Z",
            "AccountId": "111122223333"
        }
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Pour obtenir les informations sur un ensemble spécifique d’adresses IP approuvées

L’exemple get-ip-set suivant montre l’état et les détails de l’ensemble spécifié d’adresses IP approuvées.

aws guardduty get-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example

Sortie :

{
    "Status": "ACTIVE",
    "Location": "s3://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customlist.csv",
    "Tags": {},
    "Format": "TXT",
    "Name": "test-ip-set-example"
}

Pour plus d'informations, consultez la section Utilisation des listes d'adresses IP fiables et des listes de menaces dans le Guide de GuardDuty l'utilisateur.

Pour extraire les détails de votre compte principal dans la région actuelle

L’exemple get-master-account suivant affiche le statut et les détails du compte principal associé à votre détecteur dans la région actuelle.

aws guardduty get-master-account \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "Master": {
        "InvitationId": "04b94d9704854a73f94e061e8example",
        "InvitedAt": "2020-06-09T22:23:04.970Z",
        "RelationshipStatus": "Enabled",
        "AccountId": "111122223333"
    }
}

Pour plus d'informations, voir Comprendre la relation entre le compte GuardDuty administrateur et le compte membre dans le Guide de GuardDuty l'utilisateur.

Pour répertorier les détecteurs disponibles dans la région actuelle

L'list-detectorsexemple suivant répertorie les détecteurs disponibles dans votre AWS région actuelle.

aws guardduty list-detectors

Sortie :

{
    "DetectorIds": [
        "12abc34d567e8fa901bc2d34eexample"
    ]
}

Pour plus d'informations, consultez la section Concepts et terminologie du Guide de GuardDuty l'utilisateur.

Exemple 1 : pour répertorier tous les résultats pour la région actuelle

L’exemple list-findings suivant affiche une liste de tous les findingIds pour la région actuelle triés par gravité de la plus élevée à la plus faible.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --sort-criteria '{"AttributeName": "severity","OrderBy":"DESC"}'

Sortie :

{
    "FindingIds": [
        "04b8ab50fd29c64fc771b232dexample",
        "5ab8ab50fd21373735c826d3aexample",
        "90b93de7aba69107f05bbe60bexample",
        ...
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Exemple 2 : pour répertorier les résultats pour la région actuelle correspondant à un critère de résultat spécifique

L’exemple list-findings suivant affiche une liste de tous les findingIds qui correspondent à un type de résultat spécifié.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  '{"Criterion":{"type": {"Eq":["UnauthorizedAccess:EC2/SSHBruteForce"]}}}'

Sortie :

{
    "FindingIds": [
        "90b93de7aba69107f05bbe60bexample",
        "6eb9430d7023d30774d6f05e3example",
        "2eb91a2d060ac9a21963a5848example",
        "44b8ab50fd2b0039a9e48f570example",
        "9eb8ab4cd2b7e5b66ba4f5e96example",
        "e0b8ab3a38e9b0312cc390ceeexample"
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Exemple 3 : pour répertorier les résultats pour la région actuelle correspondant à un ensemble spécifique de critères de recherche définis dans un fichier JSON

L’exemple list-findings suivant affiche une liste de tous les findingIds qui ne sont pas archivés et impliquent l’utilisateur IAM nommé « testuser », tel que spécifié dans un fichier JSON.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  file://myfile.json

Contenu de myfile.json :

{"Criterion": {
    "resource.accessKeyDetails.userName":{
                "Eq":[
                    "testuser"
                    ]
                },
    "service.archived": {
                "Eq": [
                    "false"
                ]
            }
        }
}

Sortie :

{
    "FindingIds": [
        "1ab92989eaf0e742df4a014d5example"
    ]
}

Pour plus d'informations, consultez les résultats du guide de GuardDuty l'utilisateur.

Pour répertorier les détails de vos invitations à devenir un compte membre dans la région actuelle

L'list-invitationsexemple suivant répertorie les détails et les statuts de vos invitations à devenir GuardDuty membre dans la région actuelle.

aws guardduty list-invitations

Sortie :

{
    "Invitations": [
        {
            "InvitationId": "d6b94fb03a66ff665f7db8764example",
            "InvitedAt": "2020-06-10T17:56:38.221Z",
            "RelationshipStatus": "Invited",
            "AccountId": "123456789111"
        }
    ]
}

Pour plus d'informations, consultez la section Gestion GuardDuty des comptes sur invitation dans le Guide de GuardDuty l'utilisateur.

Pour répertorier les ensembles d’adresses IP fiables dans la région actuelle

L'list-ip-setsexemple suivant répertorie les ensembles d'adresses IP approuvés dans votre AWS région actuelle.

aws guardduty list-ip-sets \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Sortie :

{
    "IpSetIds": [
        "d4b94fc952d6912b8f3060768example"
    ]
}

Pour plus d'informations, consultez la section Utilisation des listes d'adresses IP fiables et des listes de menaces dans le Guide de GuardDuty l'utilisateur.

Exemple 1 : pour répertorier uniquement les membres actuels dans la région actuelle

L'list-membersexemple suivant répertorie et fournit des détails uniquement sur les comptes de membres actuels associés au compte GuardDuty administrateur, dans la région actuelle.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="true"

Sortie :

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+member@example.com",
            "AccountId": "123456789012"
        }
    ]
}

Pour plus d'informations, voir Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Exemple 2 : pour répertorier tous les membres dans la région actuelle

L'list-membersexemple suivant répertorie et détaille tous les comptes de membres, y compris ceux qui ont été dissociés ou qui n'ont pas encore accepté l'invitation de l' GuardDuty administrateur, dans la région actuelle.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="false"

Sortie :

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+other+member@example.com",
            "AccountId": "555555555555"
        }
    ]
}

Pour plus d'informations, voir Comprendre la relation entre le compte GuardDuty administrateur et les comptes membres dans le Guide de GuardDuty l'utilisateur.

Exemple 1 : pour activer la surveillance de l'exécution dans GuardDuty

L'update-detectorexemple suivant active la surveillance de l'exécution sans configuration supplémentaire.

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --features 'Name=RUNTIME_MONITORING,Status=ENABLED'

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Surveillance de l'exécution dans le Guide de GuardDuty l'utilisateur.

Exemple 2 : pour activer la surveillance de l'exécution avec une configuration supplémentaire

L'update-detectorexemple suivant active la surveillance de l'exécution avec une configuration supplémentaire pour EC2, ECS Fargate et EKS.

aws guardduty update-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --features 'Name=RUNTIME_MONITORING,Status=ENABLED,AdditionalConfiguration=[{Name=EC2_AGENT_MANAGEMENT,Status=ENABLED},{Name=ECS_FARGATE_AGENT_MANAGEMENT,Status=ENABLED},{Name=EKS_ADDON_MANAGEMENT,Status=ENABLED}]'

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Surveillance de l'exécution dans le Guide de GuardDuty l'utilisateur.

Pour mettre à jour un ensemble d’adresses IP fiables

L’exemple update-ip-set suivant montre comment mettre à jour les détails d’un ensemble d’adresses IP fiables.

aws guardduty update-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example \
    --location https://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customtrustlist2.csv

Cette commande ne produit aucune sortie.

Pour plus d'informations, consultez la section Utilisation des listes d'adresses IP fiables et des listes de menaces dans le Guide de GuardDuty l'utilisateur.