を使用したGuardDuty の例 AWS CLI

現在のリージョンで GuardDuty メンバーアカウントになるための招待を受け入れるには

次のaccept-invitation例は、現在のリージョンで GuardDuty メンバーアカウントになるための招待を受け入れる方法を示しています。

aws guardduty accept-invitation  \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --master-id 123456789111 \
    --invitation-id d6b94fb03a66ff665f7db8764example

このコマンドでは何も出力されません。

詳細については、 GuardDuty ユーザーガイド」の「招待による Word アカウントの管理」を参照してください。 GuardDuty

現在のリージョンで結果をアーカイブするには

この例では、現在のリージョンで結果をアーカイブする方法を示しています。

aws guardduty archive-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-ids d6b94fb03a66ff665f7db8764example 3eb970e0de00c16ec14e6910fexample

このコマンドでは何も出力されません。

詳細については、 GuardDuty ユーザーガイドの「招待による Word アカウントの管理」を参照してください。 GuardDuty

現在のリージョンで GuardDuty を有効にするには

この例では、現在のリージョンで GuardDuty を有効にする新しいディテクターを作成する方法を示しています。

aws guardduty create-detector \
    --enable

出力:

{
    "DetectorId": "b6b992d6d2f48e64bc59180bfexample"
}

詳細については、GuardDuty ユーザーガイドの「Amazon GuardDuty を有効にする」を参照してください。

現在のリージョンの新しいフィルターを作成するには

この例では、特定のイメージから作成されたインスタンスのすべての portcan 検出結果に一致するフィルターを作成します。

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --action ARCHIVE \
    --name myFilter \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

出力:

{
    "Name": "myFilter"
}

詳細については、GuardDuty ユーザーガイドの「結果のフィルタリング」を参照してください。

信頼された IP セットを作成するには

次のcreate-ip-set例では、現在のリージョンで信頼された IP セットを作成してアクティブ化します。

aws guardduty create-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --name new-ip-set \
    --format TXT
    --location s3://AWSDOC-EXAMPLE-BUCKET/customtrustlist.csv
    --activate

出力:

{
    "IpSetId": "d4b94fc952d6912b8f3060768example"
}

詳細については、 GuardDuty ユーザーガイドの「信頼された IP リストと脅威リストの使用」を参照してください。

新しいメンバーを現在のリージョンの GuardDuty マスターアカウントに関連付けるには。

この例では、現在のアカウントが管理するメンバーアカウントを GuardDuty マスターとして関連付ける方法を示しています。

aws guardduty create-members
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --account-details AccountId=111122223333,Email=first+member@example.com AccountId=111111111111 ,Email=another+member@example.com

出力:

{
   "UnprocessedAccounts": []
}

詳細については、 GuardDuty ユーザーガイドの「複数のアカウントの管理」を参照してください。

現在のリージョンの GuardDuty 検出結果をエクスポートする発行先を作成するには。

この例では、 GuardDuty 検出結果の発行先を作成する方法を示しています。

aws guardduty create-publishing-destination \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --destination-type S3 \
    --destination-properties DestinationArn=arn:aws:s3:::yourbucket,KmsKeyArn=arn:aws:kms:us-west-1:111122223333:key/84cee9c5-dea1-401a-ab6d-e1de7example

出力:

{
    "DestinationId": "46b99823849e1bbc242dfbe3cexample"
}

詳細については、GuardDuty ユーザーガイドの「結果のエクスポート」を参照してください。

現在のリージョンで sample GuardDuty 検出結果を作成するには。

この例では、指定されたタイプのサンプル検出結果を作成する方法を示しています。

aws guardduty create-sample-findings \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --finding-types UnauthorizedAccess:EC2/TorClient UnauthorizedAccess:EC2/TorRelay

このコマンドでは何も出力されません。

詳細については、GuardDuty ユーザーガイドの「検出結果のサンプル」を参照してください。

現在のリージョンで新しい脅威インテリジェンスセットを作成するには。

この例では、脅威インテリジェンスセットを GuardDuty にアップロードし、すぐにアクティブ化する方法を示しています。

aws guardduty create-threat-intel-set \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myThreatSet \
    --format TXT \
    --location s3://EXAMPLEBUCKET/threatlist.csv \
    --activate

出力:

{
    "ThreatIntelSetId": "20b9a4691aeb33506b808878cexample"
}

詳細については、GuardDuty ユーザーガイドの「信頼された IP と脅威のリスト」を参照してください。

現在のリージョンの別のアカウントで Guardduty を管理する招待を拒否するには。

この例では、メンバーシップの招待を拒否する方法を示しています。

aws guardduty decline-invitations \
    --account-ids 111122223333

出力:

{
    "UnprocessedAccounts": []
}

詳細については、 GuardDuty ユーザーガイドの「招待による Word アカウントの管理」を参照してください。 GuardDuty

現在のリージョンでディテクターと disable GuardDuty を削除するには。

この例では、ディテクターを削除する方法を示しています。成功すると、そのディテクターに関連付けられたリージョンで GuardDuty が無効になります。

aws guardduty delete-detector \
    --detector-id b6b992d6d2f48e64bc59180bfexample

このコマンドでは何も出力されません。

詳細については、Word GuardDuty ユーザーガイドの GuardDuty の一時停止または無効化」を参照してください。

現在のリージョンの既存のフィルターを削除するには

この例では、フィルターの削除を作成する方法を示しています。

aws guardduty delete-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --filter-name byebyeFilter

このコマンドでは何も出力されません。

詳細については、 GuardDuty ユーザーガイドの「結果のフィルタリング」を参照してください。

組織内の GuardDuty の委任管理者としてアカウントを削除するには

この例では、 GuardDuty の委任管理者としてアカウントを削除する方法を示しています。

aws guardduty disable-organization-admin-account \
    --admin-account-id 111122223333

このコマンドでは何も出力されません。

詳細については、GuardDuty ユーザーガイド」のAWS 「組織でのアカウント管理」を参照してください。

現在のリージョンの現在のマスターアカウントからの関連付けを解除するには

次のdisassociate-from-master-account例では、アカウントを現在の AWS リージョンの現在の GuardDuty マスターアカウントから関連付け解除します。

aws guardduty disassociate-from-master-account \
    --detector-id d4b040365221be2b54a6264dcexample

このコマンドでは何も出力されません。

詳細については、 GuardDuty ユーザーガイド」の「Word マスターアカウントとメンバーアカウントの関係を理解する」を参照してください。 GuardDuty

特定のディテクターの詳細を取得するには

次のget-detector例は、指定されたディテクターの設定の詳細を示しています。

aws guardduty get-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample

出力:

{
    "Status": "ENABLED",
    "ServiceRole": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
    "Tags": {},
    "FindingPublishingFrequency": "SIX_HOURS",
    "UpdatedAt": "2018-11-07T03:24:22.938Z",
    "CreatedAt": "2017-12-22T22:51:31.940Z"
}

詳細については、「Word ユーザーガイド」の「概念と用語」を参照してください。 GuardDuty

例 1: 特定の検出結果の詳細を取得するには

次のget-findings例では、指定された結果の完全な JSON 結果の詳細を取得します。

aws guardduty get-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-id 1ab92989eaf0e742df4a014d5example

出力:

{
    "Findings": [
        {
            "Resource": {
                "ResourceType": "AccessKey",
                "AccessKeyDetails": {
                    "UserName": "testuser",
                    "UserType": "IAMUser",
                    "PrincipalId": "AIDACKCEVSQ6C2EXAMPLE",
                    "AccessKeyId": "ASIASZ4SI7REEEXAMPLE"
                }
            },
            "Description": "APIs commonly used to discover the users, groups, policies and permissions in an account, was invoked by IAM principal testuser under unusual circumstances. Such activity is not typically seen from this principal.",
            "Service": {
                "Count": 5,
                "Archived": false,
                "ServiceName": "guardduty",
                "EventFirstSeen": "2020-05-26T22:02:24Z",
                "ResourceRole": "TARGET",
                "EventLastSeen": "2020-05-26T22:33:55Z",
                "DetectorId": "d4b040365221be2b54a6264dcexample",
                "Action": {
                    "ActionType": "AWS_API_CALL",
                    "AwsApiCallAction": {
                        "RemoteIpDetails": {
                            "GeoLocation": {
                                "Lat": 51.5164,
                                "Lon": -0.093
                            },
                            "City": {
                                "CityName": "London"
                            },
                            "IpAddressV4": "52.94.36.7",
                            "Organization": {
                                "Org": "Amazon.com",
                                "Isp": "Amazon.com",
                                "Asn": "16509",
                                "AsnOrg": "AMAZON-02"
                            },
                            "Country": {
                                "CountryName": "United Kingdom"
                            }
                        },
                        "Api": "ListPolicyVersions",
                        "ServiceName": "iam.amazonaws.com",
                        "CallerType": "Remote IP"
                    }
                }
            },
            "Title": "Unusual user permission reconnaissance activity by testuser.",
            "Type": "Recon:IAMUser/UserPermissions",
            "Region": "us-east-1",
            "Partition": "aws",
            "Arn": "arn:aws:guardduty:us-east-1:111122223333:detector/d4b040365221be2b54a6264dcexample/finding/1ab92989eaf0e742df4a014d5example",
            "UpdatedAt": "2020-05-26T22:55:21.703Z",
            "SchemaVersion": "2.0",
            "Severity": 5,
            "Id": "1ab92989eaf0e742df4a014d5example",
            "CreatedAt": "2020-05-26T22:21:48.385Z",
            "AccountId": "111122223333"
        }
    ]
}

詳細については、 GuardDuty ユーザーガイド」の「調査結果」を参照してください。

指定された信頼された IP セットの詳細を一覧表示するには

次のget-ip-set例は、指定された信頼された IP セットのステータスと詳細を示しています。

aws guardduty get-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example

出力:

{
    "Status": "ACTIVE",
    "Location": "s3://AWSDOC-EXAMPLE-BUCKET.s3-us-west-2.amazonaws.com/customlist.csv",
    "Tags": {},
    "Format": "TXT",
    "Name": "test-ip-set"
}

詳細については、 GuardDuty ユーザーガイドの「信頼された IP リストと脅威リストの使用」を参照してください。

現在のリージョンのマスターアカウントの詳細を取得するには

次のget-master-account例では、現在のリージョンのディテクターに関連付けられたマスターアカウントのステータスと詳細を表示します。

aws guardduty get-master-account \
    --detector-id 12abc34d567e8fa901bc2d34eexample

出力:

{
    "Master": {
        "InvitationId": "04b94d9704854a73f94e061e8example",
        "InvitedAt": "2020-06-09T22:23:04.970Z",
        "RelationshipStatus": "Enabled",
        "AccountId": "123456789111"
    }
}

詳細については、 GuardDuty ユーザーガイド」の「Word マスターアカウントとメンバーアカウントとの関係を理解する」を参照してください。 GuardDuty

現在のリージョンで使用可能なディテクターを一覧表示するには

次のlist-detectors例では、現在の AWS リージョンで使用可能なディテクターを一覧表示します。

aws guardduty list-detectors

出力:

{
    "DetectorIds": [
        "12abc34d567e8fa901bc2d34eexample"
    ]
}

詳細については、 GuardDuty ユーザーガイドの「概念と用語」を参照してください。

例 1: 現在のリージョンのすべての検出結果を一覧表示するには

次のlist-findings例では、現在のリージョンの all findingIds のリストを重要度の高い順にソートして表示します。

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --sort-criteria '{"AttributeName": "severity","OrderBy":"DESC"}'

出力:

{
    "FindingIds": [
        "04b8ab50fd29c64fc771b232dexample",
        "5ab8ab50fd21373735c826d3aexample",
        "90b93de7aba69107f05bbe60bexample",
        ...
    ]
}

詳細については、 GuardDuty ユーザーガイド」の「調査結果」を参照してください。

例 2: 特定の検出結果基準に一致する現在のリージョンの検出結果を一覧表示するには

次のlist-findings例では、指定された検出結果タイプに一致する all findingIds のリストを表示します。

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  '{"Criterion":{"type": {"Eq":["UnauthorizedAccess:EC2/SSHBruteForce"]}}}'

出力:

{
    "FindingIds": [
        "90b93de7aba69107f05bbe60bexample",
        "6eb9430d7023d30774d6f05e3example",
        "2eb91a2d060ac9a21963a5848example",
        "44b8ab50fd2b0039a9e48f570example",
        "9eb8ab4cd2b7e5b66ba4f5e96example",
        "e0b8ab3a38e9b0312cc390ceeexample"
    ]
}

詳細については、 GuardDuty ユーザーガイド」の「調査結果」を参照してください。

例 3: JSON ファイル内で定義された特定の検出結果基準のセットに一致する現在のリージョンの検出結果を一覧表示するには

次のlist-findings例では、 findingIds ファイルで指定されているように、アーカイブされておらず、「testuser」という名前の IAM ユーザーを含む allJSON のリストを表示します。

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  file://myfile.json

myfile.json の内容:

{"Criterion": {
    "resource.accessKeyDetails.userName":{
                "Eq":[
                    "testuser"
                    ]
                },
    "service.archived": {
                "Eq": [
                    "false"
                ]
            }
        }
}

出力:

{
    "FindingIds": [
        "1ab92989eaf0e742df4a014d5example"
    ]
}

詳細については、 GuardDuty ユーザーガイドの「結果」を参照してください。

現在のリージョンのメンバーアカウントになるための招待の詳細を一覧表示するには

次のlist-invitations例では、現在のリージョンで GuardDuty メンバーアカウントになるための招待の詳細とステータスを一覧表示します。

aws guardduty list-invitations

出力:

{
    "Invitations": [
        {
            "InvitationId": "d6b94fb03a66ff665f7db8764example",
            "InvitedAt": "2020-06-10T17:56:38.221Z",
            "RelationshipStatus": "Invited",
            "AccountId": "123456789111"
        }
    ]
}

詳細については、 GuardDuty ユーザーガイド」の「招待による Word アカウントの管理」を参照してください。 GuardDuty

現在のリージョンで信頼された IP セットを一覧表示するには

次のlist-ip-sets例では、現在の AWS リージョンの信頼された IP セットを一覧表示します。

aws guardduty list-ip-sets \
    --detector-id 12abc34d567e8fa901bc2d34eexample

出力:

{
    "IpSetIds": [
        "d4b94fc952d6912b8f3060768example"
    ]
}

詳細については、 GuardDuty ユーザーガイドの「信頼された IP リストと脅威リストの使用」を参照してください。

現在のリージョンのすべてのメンバーを一覧表示するには

次のlist-members例では、現在のリージョンのすべてのメンバーアカウントとその詳細を一覧表示します。

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample

出力:

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "123456789111",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+member@example.com",
            "AccountId": "123456789222"
        }
    ]
}

詳細については、 GuardDuty ユーザーガイド」の「Word マスターアカウントとメンバーアカウントとの関係を理解する」を参照してください。 GuardDuty

信頼された IP セットを更新するには

次のupdate-ip-set例は、信頼された IP セットの詳細を更新する方法を示しています。

aws guardduty update-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example \
    --location https://AWSDOC-EXAMPLE-BUCKET.s3-us-west-2.amazonaws.com/customtrustlist2.csv

このコマンドでは何も出力されません。

詳細については、 GuardDuty ユーザーガイドの「信頼された IP リストと脅威リストの使用」を参照してください。