Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Gestion des règles de détection personnalisées

GuardDuty applique une règle à un compte par le biais d'une association. Une association associe une règle à votre compte et enregistre le mode, en direct ou à sec, dans lequel la règle fonctionne.

Dans une organisation, le compte GuardDuty administrateur délégué utilise les configurations de l'organisation pour gérer les règles relatives aux comptes des membres de manière centralisée. Une configuration d'organisation prend en charge les listes d'inclusion et d'exclusion pour contrôler les comptes auxquels s'applique une règle. Pour de plus amples informations, veuillez consulter Gestion des règles de détection personnalisées dans les environnements comportant plusieurs comptes.

Répertorier les règles disponibles

Le catalogue de règles répertorie toutes les règles disponibles, avec des filtres par nom, gravité, source de données, tactique MITRE ATT&CK®, technique et AWS service.

Console

Pour répertorier les règles disponibles

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le volet de navigation, choisissez Règles de détection personnalisées.

3. Utilisez les commandes de filtre pour affiner la liste par propriété (par exemple, gravité ou tactique).

API/CLI

Lancez l'ListCustomDetectionRulesopération. Vous pouvez appliquer des filtres pour affiner les résultats par nom, gravité, source de données, tactique, technique ou service.

aws guardduty list-custom-detection-rules \
    --filters Name=severity,Values=HIGH

Affichage de l'état des règles

Chaque règle de votre compte possède l'un des trois statuts suivants :

Console

La colonne État de la page Règles de détection personnalisées indique l'état actuel de chaque règle. Vous pouvez filtrer par statut à l'aide de la liste déroulante.

API/CLI

Exécutez l'ListCustomDetectionRuleAssociationsopération pour voir quelles règles sont associées à votre compte et à leur mode actuel.

aws guardduty list-custom-detection-rule-associations

Opérations en vrac

Les opérations groupées appliquent le même changement de mode à plusieurs règles ou à une règle pour plusieurs comptes.

Console

Sur la page Règles de détection personnalisées, sélectionnez plusieurs règles à l'aide des cases à cocher, puis choisissez Actions pour activer ou désactiver toutes les règles sélectionnées en une seule action.

API/CLI

Pour appliquer la même modification à plusieurs règles, appelez CreateCustomDetectionRuleAssociation une fois par règle.

for RULE in rule-id-1 rule-id-2; do
    aws guardduty create-custom-detection-rule-association \
        --rule-id "$RULE" \
        --mode LIVE
done

Pour couvrir toutes les règles du catalogue plutôt qu'une liste nommée, remplacez les ID de règle par le résultat de ListCustomDetectionRules :$(aws guardduty list-custom-detection-rules --query 'Rules[].RuleId' --output text).

Pour appliquer une règle unique à de nombreux comptes, utilisez une configuration d'organisation plutôt que des appels par compte. Une configuration d'organisation cible les comptes des membres avec des listes d'inclusion et d'exclusion, et GuardDuty crée les associations individuelles. Pour de plus amples informations, veuillez consulter Gestion des règles de détection personnalisées dans les environnements comportant plusieurs comptes.

Course à sec

En mode d'exécution à sec, GuardDuty évalue les événements par rapport à la règle mais ne génère pas de résultats. GuardDuty Émet plutôt des CloudWatch métriques Amazon que vous pouvez utiliser pour évaluer le volume du signal et le comportement des règles avant d'activer la détection en direct. GuardDuty publie ces mesures uniquement lorsque la règle correspond à un événement ; si une règle ne correspond jamais, elle ne produit aucune métrique d'exécution.

Utilisez le mode d'exécution à sec pour comprendre le comportement d'une règle dans votre environnement sans déclencher de réponses automatisées ni générer de résultats dans la console.

Console

Pour activer une règle en mode fonctionnement à sec

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le volet de navigation, choisissez Règles de détection personnalisées.

3. Sélectionnez une ou plusieurs règles.

4. Choisissez Actions, puis sélectionnez Activer (fonctionnement à sec).

API/CLI

Exécutez l'CreateCustomDetectionRuleAssociationopération avec mode set toDRY_RUN.

aws guardduty create-custom-detection-rule-association \
    --rule-id rule-id \
    --mode DRY_RUN

Direct

En mode live, GuardDuty génère des résultats qui apparaissent dans la GuardDuty console. Les résultats sont exportés vers Amazon EventBridge et, si vous en configurez un, vers un compartiment Amazon S3 dont vous êtes propriétaire. Les résultats sont également envoyés à AWS des services intégrés tels que AWS Security Hub. Utilisez le mode live pour détecter activement les menaces dans votre environnement.

Console

Pour activer une règle en mode live

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le volet de navigation, choisissez Règles de détection personnalisées.

3. Sélectionnez une ou plusieurs règles.

4. Choisissez Actions, puis sélectionnez Activer (en direct).

Pour passer d'une règle existante à sec à une règle active, sélectionnez la règle, choisissez Actions, puis choisissez Activer (Live).

API/CLI

Pour activer une nouvelle règle en mode actif, exécutez l'CreateCustomDetectionRuleAssociationopération avec mode set toLIVE.

aws guardduty create-custom-detection-rule-association \
    --rule-id rule-id \
    --mode LIVE

Pour faire passer une règle existante de dry run à live, exécutez l'UpdateCustomDetectionRuleAssociationopération.

Désactivation des règles

La désactivation d'une règle supprime l'association et GuardDuty empêche l'évaluation des événements par rapport à cette règle pour votre compte.

Console

Pour désactiver les règles de détection personnalisées

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Dans le volet de navigation, choisissez Règles de détection personnalisées.

3. Sélectionnez une ou plusieurs règles que vous souhaitez désactiver.

4. Choisissez Actions, puis Désactiver.

5. Confirmez l'action lorsque vous y êtes invité.

API/CLI

Lancez l'DeleteCustomDetectionRuleAssociationopération.

aws guardduty delete-custom-detection-rule-association \
    --rule-id rule-id