GuardDuty 로그 쿼리

모든 GuardDuty 경고를 심각도별로 순위 매기기

GuardDuty는 인프라에 대한 위협을 파악하는 데 유용한 가시성 소스입니다. 그러나 많은 수의 발견(finding)을 생성할 수 있습니다. 이 쿼리는 계정의 보안 상태를 평가하는 데 사용할 수 있는 발견 분포를 보여줍니다.

SELECT
 severity,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY severity
ORDER BY total_rows DESC

영향을 받는 리소스별로 모든 GuardDuty 경고 순위 매기기

위 예와 유사하지만, 이 예에서는 영향을 받는 리소스를 순위화하여 발견을 특성화합니다.

SELECT
 resource:resourceType AS resource_type,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY resource:resourceType
ORDER BY total_rows DESC