GuardDuty 위협 탐지 - 정답 및 해설

# GuardDuty 활성화 (Detector 생성)
aws guardduty create-detector \
  --enable \
  --region ap-northeast-2

# 출력 예시:
# {
#     "DetectorId": "a1b2c3d4e5f6g7h8i9j0k1l2m3n4o5p6"
# }

# Detector ID 저장 (이후 명령어에서 사용)
DETECTOR_ID=$(aws guardduty list-detectors \
  --region ap-northeast-2 \
  --query "DetectorIds[0]" \
  --output text)
echo "Detector ID: ${DETECTOR_ID}"

# Detector ID 가져오기
DETECTOR_ID=$(aws guardduty list-detectors \
  --region ap-northeast-2 \
  --query "DetectorIds[0]" \
  --output text)
echo "Detector ID: ${DETECTOR_ID}"

# Detector 상태 및 설정 확인
aws guardduty get-detector \
  --detector-id ${DETECTOR_ID} \
  --region ap-northeast-2

# 출력 예시:
# {
#     "CreatedAt": "2026-03-03T10:00:00.000Z",
#     "FindingPublishingFrequency": "SIX_HOURS",
#     "ServiceRole": "arn:aws:iam::xxxx:role/aws-service-role/guardduty.amazonaws.com/...",
#     "Status": "ENABLED",
#     "DataSources": {
#         "CloudTrail": { "Status": "ENABLED" },
#         "DNSLogs": { "Status": "ENABLED" },
#         "FlowLogs": { "Status": "ENABLED" },
#         "S3Logs": { "Status": "ENABLED" }
#     }
# }

# 현재 Findings 목록 확인 (아직 비어 있을 것)
aws guardduty list-findings \
  --detector-id ${DETECTOR_ID} \
  --region ap-northeast-2

# 출력 예시:
# {
#     "FindingIds": []
# }

# Detector ID 가져오기
DETECTOR_ID=$(aws guardduty list-detectors \
  --region ap-northeast-2 \
  --query "DetectorIds[0]" \
  --output text)

# 방법 1: 모든 유형의 샘플 결과 생성 (finding-types 생략 시 전체 생성)
aws guardduty create-sample-findings \
  --detector-id ${DETECTOR_ID} \
  --region ap-northeast-2

echo "모든 유형의 샘플 결과가 생성되었습니다."

# 방법 2: 특정 유형의 샘플 결과만 생성
aws guardduty create-sample-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-types \
    "Recon:EC2/PortProbeUnprotectedPort" \
    "UnauthorizedAccess:EC2/SSHBruteForce" \
    "CryptoCurrency:EC2/BitcoinTool.B!DNS" \
  --region ap-northeast-2

echo "특정 유형의 샘플 결과가 생성되었습니다."

# 생성된 결과 개수 확인
FINDING_COUNT=$(aws guardduty list-findings \
  --detector-id ${DETECTOR_ID} \
  --region ap-northeast-2 \
  --query "length(FindingIds)" \
  --output text)
echo "현재 Findings 수: ${FINDING_COUNT}"

# Detector ID 가져오기
DETECTOR_ID=$(aws guardduty list-detectors \
  --region ap-northeast-2 \
  --query "DetectorIds[0]" \
  --output text)

# ===== High 심각도 (7.0 이상) 결과 조회 =====
echo "=== High 심각도 결과 ==="
HIGH_FINDING_IDS=$(aws guardduty list-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-criteria '{
    "Criterion": {
      "severity": {"Gte": 7}
    }
  }' \
  --max-results 5 \
  --region ap-northeast-2 \
  --query "FindingIds" \
  --output json)

echo "High Finding IDs: ${HIGH_FINDING_IDS}"

# High 심각도 결과 상세 조회
aws guardduty get-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-ids ${HIGH_FINDING_IDS} \
  --region ap-northeast-2 \
  --query "Findings[*].{Type:Type,Severity:Severity,Title:Title,Description:Description}" \
  --output table

# ===== Medium 심각도 (4.0 ~ 6.9) 결과 조회 =====
echo ""
echo "=== Medium 심각도 결과 ==="
MEDIUM_FINDING_IDS=$(aws guardduty list-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-criteria '{
    "Criterion": {
      "severity": {"Gte": 4, "Lt": 7}
    }
  }' \
  --max-results 5 \
  --region ap-northeast-2 \
  --query "FindingIds" \
  --output json)

aws guardduty get-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-ids ${MEDIUM_FINDING_IDS} \
  --region ap-northeast-2 \
  --query "Findings[*].{Type:Type,Severity:Severity,Title:Title}" \
  --output table

# ===== Low 심각도 (1.0 ~ 3.9) 결과 조회 =====
echo ""
echo "=== Low 심각도 결과 ==="
LOW_FINDING_IDS=$(aws guardduty list-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-criteria '{
    "Criterion": {
      "severity": {"Gte": 1, "Lt": 4}
    }
  }' \
  --max-results 5 \
  --region ap-northeast-2 \
  --query "FindingIds" \
  --output json)

aws guardduty get-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-ids ${LOW_FINDING_IDS} \
  --region ap-northeast-2 \
  --query "Findings[*].{Type:Type,Severity:Severity,Title:Title}" \
  --output table

# ===== 특정 결과 상세 조회 (전체 JSON) =====
echo ""
echo "=== 특정 결과 상세 정보 ==="
# 첫 번째 High Finding의 전체 상세 정보 조회
FIRST_HIGH_ID=$(echo ${HIGH_FINDING_IDS} | python3 -c "import sys,json; print(json.load(sys.stdin)[0])")

aws guardduty get-findings \
  --detector-id ${DETECTOR_ID} \
  --finding-ids "[\"${FIRST_HIGH_ID}\"]" \
  --region ap-northeast-2