# 调查GuardDuty的发现

可以先看现有的发现中存在的GD发现类型，注意替换查询语句的表名称，此示例使用的是美东一的Security Hub Findings的日志：

可以根据需要删减查询出来的字段，调整查询日志的时间范围，这样如果前面发现了可疑用户，可以检查一下在某个时间范围内是否有入侵的发现，是否跟可疑用户的IP地址匹配。

```sql
--resources[1].type , resources[1].uid, 
SELECT region, accountid, finding.desc, finding.types, resources[1].region, resources[1].details, unmapped
FROM "amazon_security_lake_table_us_east_1_sh_findings_1_0"
where metadata.product.feature.name = 'GuardDuty'
and eventday >= '20230731' AND eventday <= '20230831' 
and severity = 'Critical'
and state = 'New'
```

发现的结果可以下载下来，可以看到很多详细的信息，以下为示例：

1. 存在挖矿木马

<figure><img src="https://3752289132-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTfg4e0NhLEbwi6WFJp%2Fuploads%2FTFlE2HskF2o0LuRnkU8W%2FScreenshot%202024-01-16%20at%2016.11.39.png?alt=media&#x26;token=77c206b2-405d-47b1-92cd-3c0cdffb4b00" alt=""><figcaption></figcaption></figure>

2. 恶意文件的路径

<figure><img src="https://3752289132-files.gitbook.io/~/files/v0/b/gitbook-x-prod.appspot.com/o/spaces%2F-LTfg4e0NhLEbwi6WFJp%2Fuploads%2FyLUPrppXEUMJro80fYVm%2FScreenshot%202024-01-16%20at%2016.12.35.png?alt=media&#x26;token=7e4f5304-6389-447e-a954-7ae4209b20c3" alt=""><figcaption></figcaption></figure>

如果在服务器都是要求通过堡垒机访问的，则后面可以通过堡垒机调查文件上传的途径是什么，谁上传的。
