GuardDuty 로그 쿼리

모든 GuardDuty 경고를 심각도별로 순위 지정

GuardDuty는 인프라에 대한 위협을 파악하는 데 유용한 가시성 소스입니다. 그러나 많은 수의 탐지 결과를 생성할 수 있습니다. 이 쿼리는 계정의 보안 태세를 평가하는 데 사용할 수 있는 탐지 결과의 분포를 보여줍니다.

SELECT
 severity,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY severity
ORDER BY total_rows DESC

영향을 받은 리소스별로 모든 GuardDuty 경고를 순위 지정

위 예와 유사하지만, 이 예에서는 영향을 받은 리소스를 순위화하여 탐지 결과를 설명합니다.

SELECT
 resource:resourceType AS resource_type,
 count(1) AS total_rows
FROM panther_logs.public.aws_guardduty
WHERE p_occurs_between('2021-01-01', '2021-02-01')
GROUP BY resource:resourceType
ORDER BY total_rows DESC