Beispiele für die Verwendung der AWS CLI mit GuardDuty

So nehmen Sie die Einladung an, ein GuardDuty-Mitgliedskonto in der aktuellen Region zu führen

Im folgenden accept-invitation-Beispiel wird gezeigt, wie Sie die Einladung annehmen, ein GuardDuty-Mitgliedskonto in der aktuellen Region zu führen.

aws guardduty accept-invitation  \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --master-id 123456789111 \
    --invitation-id d6b94fb03a66ff665f7db8764example

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Verwalten von GuardDuty-Konten per Einladung im Benutzerhandbuch zu Amazon GuardDuty.

So archivieren Sie Erkenntnisse in der aktuellen Region

Dieses archive-findings-Beispiel zeigt, wie Erkenntnisse in der aktuellen Region archiviert werden.

aws guardduty archive-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-ids d6b94fb03a66ff665f7db8764example 3eb970e0de00c16ec14e6910fexample

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Erstellen von Unterdrückungsregeln im Benutzerhandbuch zu GuardDuty.

So aktivieren Sie GuardDuty in der aktuellen Region

Dieses Beispiel zeigt, wie Sie einen neuen Detektor in der aktuellen Region erstellen, der GuardDuty aktiviert:

aws guardduty create-detector \
    --enable

Ausgabe:

{
    "DetectorId": "b6b992d6d2f48e64bc59180bfexample"
}

Weitere Informationen finden Sie unter Amazon GuardDuty aktivieren im Benutzerhandbuch zu Amazon GuardDuty.

Beispiel 1: So erstellen Sie einen neuen Filter in der aktuellen Region

Im folgenden create-filter-Beispiel wird ein Filter erstellt, der allen Portscan-Erkenntnissen entspricht, die beispielsweise aus einem bestimmten Bild erstellt wurden. Die Erkenntnisse werden dadurch nicht unterdrückt.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myFilterExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Ausgabe:

{
    "Name": "myFilterExample"
}

Weitere Informationen finden Sie unter Filtern von GuardDuty-Erkenntnissen im Benutzerhandbuch zu GuardDuty.

Beispiel 2: So erstellen Sie einen neuen Filter und unterdrücken Erkenntnisse in der aktuellen Region

Im folgenden create-filter-Beispiel wird ein Filter erstellt, der allen Portscan-Erkenntnissen entspricht, die beispielsweise aus einem bestimmten Bild erstellt wurden. Dieser Filter archiviert diese Erkenntnisse, sodass sie nicht in Ihren aktuellen Erkenntnissen erscheinen.

aws guardduty create-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --action ARCHIVE \
    --name myFilterSecondExample \
    --finding-criteria '{"Criterion": {"type": {"Eq": ["Recon:EC2/Portscan"]},"resource.instanceDetails.imageId": {"Eq": ["ami-0a7a207083example"]}}}'

Ausgabe:

{
    "Name": "myFilterSecondExample"
}

Weitere Informationen finden Sie unter Filtern von GuardDuty-Erkenntnissen im Benutzerhandbuch zu GuardDuty.

So erstellen und aktivieren Sie ein vertrauenswürdiges IP-Set

Im folgenden create-ip-set-Beispiel wird ein vertrauenswürdiges IP-Set in der aktuellen Region erstellt und aktiviert.

aws guardduty create-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --name new-ip-set-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/customtrustlist.csv \
    --activate

Ausgabe:

{
    "IpSetId": "d4b94fc952d6912b8f3060768example"
}

Weitere Informationen finden Sie unter Arbeiten mit Listen mit vertrauenswürdigen IPs und Bedrohungslisten im Benutzerhandbuch zu GuardDuty.

So verknüpfen Sie ein neues Mitglied mit Ihrem GuardDuty-Masterkonto in der aktuellen Region

Dieses Beispiel zeigt, wie Mitgliedskonten so verknüpft werden, dass sie vom aktuellen Konto als GuardDuty-Master verwaltet werden.

aws guardduty create-members
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --account-details AccountId=111122223333,Email=first+member@example.com AccountId=111111111111 ,Email=another+member@example.com

Ausgabe:

{
   "UnprocessedAccounts": []
}

Weitere Informationen finden Sie unter Verwalten mehrerer Konten im Benutzerhandbuch zu GuardDuty.

So erstellen Sie ein Veröffentlichungsziel, in das GuardDuty-Erkenntnisse in der aktuellen Region exportiert werden sollen

Das folgende create-publishing-destination-Beispiel zeigt, wie Sie ein Veröffentlichungsziel einrichten, in das aktuelle (nicht archivierte) GuardDuty-Erkenntnisse exportiert werden, damit Sie historische Erkenntnisdaten nachverfolgen können.

aws guardduty create-publishing-destination \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --destination-type S3 \
    --destination-properties 'DestinationArn=arn:aws:s3:::amzn-s3-demo-bucket,KmsKeyArn=arn:aws:kms:us-west-1:111122223333:key/84cee9c5-dea1-401a-ab6d-e1de7example'

Ausgabe:

{
    "DestinationId": "46b99823849e1bbc242dfbe3cexample"
}

Weitere Informationen finden Sie unter Exportieren generierter GuardDuty-Erkenntnisse in Amazon-S3-Buckets im Benutzerhandbuch zu GuardDuty.

So erstellen Sie Beispiel-GuardDuty-Erkenntnisse in der aktuellen Region

Dieses Beispiel zeigt, wie Sie eine Beispiel-Erkenntnis für die bereitgestellten Typen erstellen.

aws guardduty create-sample-findings \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --finding-types UnauthorizedAccess:EC2/TorClient UnauthorizedAccess:EC2/TorRelay

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Beispiel-Erkenntnisse im Benutzerhandbuch zu GuardDuty.

So erstellen und aktivieren Sie ein neues Threat-Intelligence-Set

Im folgenden create-threat-intel-set-Beispiel wird ein Threat-Intelligence-Set in der aktuellen Region erstellt und aktiviert.

aws guardduty create-threat-intel-set \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --name myThreatSet-example \
    --format TXT \
    --location s3://amzn-s3-demo-bucket/threatlist.csv \
    --activate

Ausgabe:

{
    "ThreatIntelSetId": "20b9a4691aeb33506b808878cexample"
}

Weitere Informationen finden Sie unter Arbeiten mit Listen mit vertrauenswürdigen IPs und Bedrohungslisten im Benutzerhandbuch zu GuardDuty.

So lehnen Sie die Einladung, GuardDuty von einem anderen Konto in der aktuellen Region verwalten zu lassen, ab

Dieses Beispiel zeigt, wie Sie eine Einladung zur Mitgliedschaft ablehnen.

aws guardduty decline-invitations \
    --account-ids 111122223333

Ausgabe:

{
    "UnprocessedAccounts": []
}

Weitere Informationen finden Sie unter Verwalten von GuardDuty-Konten per Einladung im Benutzerhandbuch zu Amazon GuardDuty.

So löschen Sie einen Detektor und deaktivieren GuardDuty in der aktuellen Region

Dieses Beispiel zeigt, wie ein Detektor gelöscht wird. Ist die Löschung erfolgreich, wird GuardDuty in der Region deaktiviert, die mit diesem Detektor verknüpft ist.

aws guardduty delete-detector \
    --detector-id b6b992d6d2f48e64bc59180bfexample

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Anhalten oder Deaktivieren von GuardDuty im Benutzerhandbuch zu Amazon GuardDuty.

So löschen Sie einen vorhandenen Filter in der aktuellen Region

In diesem Beispiel wird gezeigt, wie Sie einen Filter erstellen und löschen.

aws guardduty delete-filter \
    --detector-id b6b992d6d2f48e64bc59180bfexample \
    --filter-name byebyeFilter

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Filtern von Erkenntnissen im Benutzerhandbuch zu GuardDuty.

So entfernen Sie ein Konto als delegierter Administrator für GuardDuty innerhalb Ihrer Organisation

Dieses Beispiel veranschaulicht, wie Sie ein Konto als delegierter Administrator für GuardDuty entfernen.

aws guardduty disable-organization-admin-account \
    --admin-account-id 111122223333

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Verwalten von Konten mit AWS-Organisationen im Benutzerhandbuch zu Amazon GuardDuty.

So heben Sie die Verbindung zu Ihrem aktuellen Administratorkonto in der aktuellen Region auf

Im folgenden disassociate-from-master-account-Beispiel wird die Verbindung Ihres Kontos zum aktuellen GuardDuty-Administratorkonto in der aktuellen AWS-Region aufgehoben.

aws guardduty disassociate-from-master-account \
    --detector-id d4b040365221be2b54a6264dcexample

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Grundlegendes zur Beziehung zwischen GuardDuty-Administrator- und -Mitgliedskonten im Benutzerhandbuch zu GuardDuty.

So rufen Sie Details zu einem bestimmten Detektor ab

Im folgenden get-detector-Beispiel werden die Konfigurationsdetails zum angegebenen Detektor angezeigt.

aws guardduty get-detector \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Ausgabe:

{
    "Status": "ENABLED",
    "ServiceRole": "arn:aws:iam::111122223333:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty",
    "Tags": {},
    "FindingPublishingFrequency": "SIX_HOURS",
    "UpdatedAt": "2018-11-07T03:24:22.938Z",
    "CreatedAt": "2017-12-22T22:51:31.940Z"
}

Weitere Informationen finden Sie unter Konzepte und Terminologie im Benutzerhandbuch zu GuardDuty.

Beispiel 1: So rufen Sie die Details zu einer bestimmten Erkenntnis ab

Im folgenden get-findings-Beispiel werden die vollständigen JSON-Erkenntnisdetails zum angegebenen Erkenntnis abgerufen.

aws guardduty get-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-id 1ab92989eaf0e742df4a014d5example

Ausgabe:

{
    "Findings": [
        {
            "Resource": {
                "ResourceType": "AccessKey",
                "AccessKeyDetails": {
                    "UserName": "testuser",
                    "UserType": "IAMUser",
                    "PrincipalId": "AIDACKCEVSQ6C2EXAMPLE",
                    "AccessKeyId": "ASIASZ4SI7REEEXAMPLE"
                }
            },
            "Description": "APIs commonly used to discover the users, groups, policies and permissions in an account, was invoked by IAM principal testuser under unusual circumstances. Such activity is not typically seen from this principal.",
            "Service": {
                "Count": 5,
                "Archived": false,
                "ServiceName": "guardduty",
                "EventFirstSeen": "2020-05-26T22:02:24Z",
                "ResourceRole": "TARGET",
                "EventLastSeen": "2020-05-26T22:33:55Z",
                "DetectorId": "d4b040365221be2b54a6264dcexample",
                "Action": {
                    "ActionType": "AWS_API_CALL",
                    "AwsApiCallAction": {
                        "RemoteIpDetails": {
                            "GeoLocation": {
                                "Lat": 51.5164,
                                "Lon": -0.093
                            },
                            "City": {
                                "CityName": "London"
                            },
                            "IpAddressV4": "52.94.36.7",
                            "Organization": {
                                "Org": "Amazon.com",
                                "Isp": "Amazon.com",
                                "Asn": "16509",
                                "AsnOrg": "AMAZON-02"
                            },
                            "Country": {
                                "CountryName": "United Kingdom"
                            }
                        },
                        "Api": "ListPolicyVersions",
                        "ServiceName": "iam.amazonaws.com",
                        "CallerType": "Remote IP"
                    }
                }
            },
            "Title": "Unusual user permission reconnaissance activity by testuser.",
            "Type": "Recon:IAMUser/UserPermissions",
            "Region": "us-east-1",
            "Partition": "aws",
            "Arn": "arn:aws:guardduty:us-east-1:111122223333:detector/d4b040365221be2b54a6264dcexample/finding/1ab92989eaf0e742df4a014d5example",
            "UpdatedAt": "2020-05-26T22:55:21.703Z",
            "SchemaVersion": "2.0",
            "Severity": 5,
            "Id": "1ab92989eaf0e742df4a014d5example",
            "CreatedAt": "2020-05-26T22:21:48.385Z",
            "AccountId": "111122223333"
        }
    ]
}

Weitere Informationen finden Sie unter Erkenntnisse im Benutzerhandbuch zu GuardDuty.

So listen Sie die Details zu einem bestimmten vertrauenswürdigen IP-Set auf

Das folgende get-ip-set-Beispiel zeigt den Status und die Details zum angegebenen vertrauenswürdigen IP-Set.

aws guardduty get-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example

Ausgabe:

{
    "Status": "ACTIVE",
    "Location": "s3://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customlist.csv",
    "Tags": {},
    "Format": "TXT",
    "Name": "test-ip-set-example"
}

Weitere Informationen finden Sie unter Arbeiten mit Listen mit vertrauenswürdigen IPs und Bedrohungslisten im Benutzerhandbuch zu GuardDuty.

So rufen Sie Details zu Ihrem Masterkonto in der aktuellen Region ab

Im folgenden get-master-account-Beispiel werden der Status und die Details zu dem Masterkonto angezeigt, das mit Ihrem Detektor in der aktuellen Region verknüpft ist.

aws guardduty get-master-account \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Ausgabe:

{
    "Master": {
        "InvitationId": "04b94d9704854a73f94e061e8example",
        "InvitedAt": "2020-06-09T22:23:04.970Z",
        "RelationshipStatus": "Enabled",
        "AccountId": "111122223333"
    }
}

Weitere Informationen finden Sie unter Grundlegendes zur Beziehung zwischen GuardDuty-Administrator- und -Mitgliedskonto im Benutzerhandbuch zu GuardDuty.

So listen Sie die verfügbaren Detektoren in der aktuellen Region auf

Im folgenden list-detectors-Beispiel werden die verfügbaren Detektoren in Ihrer aktuellen AWS-Region aufgelistet.

aws guardduty list-detectors

Ausgabe:

{
    "DetectorIds": [
        "12abc34d567e8fa901bc2d34eexample"
    ]
}

Weitere Informationen finden Sie unter Konzepte und Terminologie im Benutzerhandbuch zu GuardDuty.

Beispiel 1: So listen Sie alle Erkenntnisse für die aktuelle Region auf

Im folgenden list-findings-Beispiel wird eine Liste aller Erkenntnis-IDs für die aktuelle Region angezeigt, absteigend sortiert nach Schweregrad.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --sort-criteria '{"AttributeName": "severity","OrderBy":"DESC"}'

Ausgabe:

{
    "FindingIds": [
        "04b8ab50fd29c64fc771b232dexample",
        "5ab8ab50fd21373735c826d3aexample",
        "90b93de7aba69107f05bbe60bexample",
        ...
    ]
}

Weitere Informationen finden Sie unter Erkenntnisse im Benutzerhandbuch zu GuardDuty.

Beispiel 2: So listen Sie Erkenntnisse für die aktuelle Region auf, die einem bestimmten Erkenntniskriterium entsprechen

Im folgenden list-findings-Beispiel wird eine Liste aller Erkenntnis-IDs angezeigt, die einem angegebenen Erkenntnistyp entsprechen.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  '{"Criterion":{"type": {"Eq":["UnauthorizedAccess:EC2/SSHBruteForce"]}}}'

Ausgabe:

{
    "FindingIds": [
        "90b93de7aba69107f05bbe60bexample",
        "6eb9430d7023d30774d6f05e3example",
        "2eb91a2d060ac9a21963a5848example",
        "44b8ab50fd2b0039a9e48f570example",
        "9eb8ab4cd2b7e5b66ba4f5e96example",
        "e0b8ab3a38e9b0312cc390ceeexample"
    ]
}

Weitere Informationen finden Sie unter Erkenntnisse im Benutzerhandbuch zu GuardDuty.

Beispiel 3: So listen Sie Erkenntnisse für die aktuelle Region auf, die einem bestimmten Set von innerhalb einer JSON-Datei definierten Erkenntniskriterien entsprechen

Im folgenden list-findings-Beispiel wird eine Liste aller Erkenntnis-IDs angezeigt, die nicht archiviert wurden und an denen der IAM-Benutzer mit dem Namen „testuser“ beteiligt ist, wie in einer JSON-Datei angegeben.

aws guardduty list-findings \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --finding-criteria  file://myfile.json

Inhalt von myfile.json:

{"Criterion": {
    "resource.accessKeyDetails.userName":{
                "Eq":[
                    "testuser"
                    ]
                },
    "service.archived": {
                "Eq": [
                    "false"
                ]
            }
        }
}

Ausgabe:

{
    "FindingIds": [
        "1ab92989eaf0e742df4a014d5example"
    ]
}

Weitere Informationen finden Sie unter Erkenntnisse im Benutzerhandbuch zu GuardDuty.

So listen Sie Details zu Ihren Einladungen, ein Mitgliedskonto in der aktuellen Region zu führen, auf

Im folgenden list-invitations-Beispiel werden Details und der Status Ihrer Einladungen, ein GuardDuty-Mitgliedskonto in der aktuellen Region zu führen, aufgelistet.

aws guardduty list-invitations

Ausgabe:

{
    "Invitations": [
        {
            "InvitationId": "d6b94fb03a66ff665f7db8764example",
            "InvitedAt": "2020-06-10T17:56:38.221Z",
            "RelationshipStatus": "Invited",
            "AccountId": "123456789111"
        }
    ]
}

Weitere Informationen finden Sie unter Verwalten von GuardDuty-Konten per Einladung im Benutzerhandbuch zu Amazon GuardDuty.

So listen Sie vertrauenswürdige IP-Sets in der aktuellen Region auf

Im folgenden list-ip-sets-Beispiel werden die vertrauenswürdigen IP-Sets in Ihrer aktuellen AWS-Region aufgelistet.

aws guardduty list-ip-sets \
    --detector-id 12abc34d567e8fa901bc2d34eexample

Ausgabe:

{
    "IpSetIds": [
        "d4b94fc952d6912b8f3060768example"
    ]
}

Weitere Informationen finden Sie unter Arbeiten mit Listen mit vertrauenswürdigen IPs und Bedrohungslisten im Benutzerhandbuch zu GuardDuty.

Beispiel 1: So listen Sie nur aktuelle Mitglieder in der aktuellen Region auf

Im folgenden list-members-Beispiel werden nur aktuelle Mitgliedskonten, die mit dem GuardDuty-Administratorkonto verknüpft sind, in der aktuellen Region aufgeführt und detailliert dargestellt.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="true"

Ausgabe:

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+member@example.com",
            "AccountId": "123456789012"
        }
    ]
}

Weitere Informationen finden Sie unter Grundlegendes zur Beziehung zwischen GuardDuty-Administrator- und -Mitgliedskonten im Benutzerhandbuch zu GuardDuty.

Beispiel 2: So listen Sie alle Mitglieder in der aktuellen Region auf

Im folgenden list-members-Beispiel werden alle Mitgliedskonten in der aktuellen Region aufgeführt und detailliert dargestellt, einschließlich der Konten, deren Verbindung aufgehoben wurde oder für die noch keine Einladung des GuardDuty-Administrators angenommen wurde.

aws guardduty list-members \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --only-associated="false"

Ausgabe:

{
    "Members": [
        {
            "RelationshipStatus": "Enabled",
            "InvitedAt": "2020-06-09T22:49:00.910Z",
            "MasterId": "111122223333",
            "DetectorId": "7ab8b2f61b256c87f793f6a86example",
            "UpdatedAt": "2020-06-09T23:08:22.512Z",
            "Email": "your+other+member@example.com",
            "AccountId": "555555555555"
        }
    ]
}

Weitere Informationen finden Sie unter Grundlegendes zur Beziehung zwischen GuardDuty-Administrator- und -Mitgliedskonten im Benutzerhandbuch zu GuardDuty.

So aktualisieren Sie ein vertrauenswürdiges IP-Set

Das folgende update-ip-set-Beispiel zeigt, wie Sie die Details eines vertrauenswürdigen IP-Sets aktualisieren.

aws guardduty update-ip-set \
    --detector-id 12abc34d567e8fa901bc2d34eexample \
    --ip-set-id d4b94fc952d6912b8f3060768example \
    --location https://amzn-s3-demo-bucket.s3-us-west-2.amazonaws.com/customtrustlist2.csv

Mit diesem Befehl wird keine Ausgabe zurückgegeben.

Weitere Informationen finden Sie unter Arbeiten mit Listen mit vertrauenswürdigen IPs und Bedrohungslisten im Benutzerhandbuch zu GuardDuty.