GuardDuty 로그 쿼리

모든 GuardDuty 알러트를 심각도별로 순위 매기기

GuardDuty는 인프라에 대한 위협 가시성의 귀중한 소스입니다. 그러나 많은 수의 파인딩을 생성할 수 있습니다. 이 쿼리는 계정의 보안 태세를 평가하는 데 사용할 수 있는 파인딩의 분포를 보여줍니다.

SELECT
 severity,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY severity
ORDER BY total_rows DESC

영향받은 리소스별로 모든 GuardDuty 알러트 순위 매기기

위 예와 유사하지만, 이 예제에서는 쿼리가 영향을 받은 리소스를 순위별로 정리하여 파인딩을 특징화합니다.

SELECT
 resource:resourceType AS resource_type,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY resource:resourceType
ORDER BY total_rows DESC