GuardDuty で抑制ルールを作成する

https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

検出結果ページで、少なくとも 1 つのフィルター条件を追加しない限り、抑制ルールの作成機能はグレー表示されます。抑制ルールはアクティブな進行中の検出結果に適用されるため、ステータスメニューが現在に設定されていることを確認してください。

1 つ以上のフィルター条件を追加するには、「」のステップ 3 ～ 7 に従いAdding filters on Findings page、次のステップに進みます。

フィルター条件を追加し、フィルタリングされた検出結果が要件を満たしていることを確認したら、抑制ルールの作成を選択します。

抑制ルールの名前を入力します。名前は 3～64 文字にする必要があります。有効な文字は、a～z、A～Z、0～9、ピリオド (.)、ハイフン (-)、アンダースコア (_) です。

説明はオプションです。説明を入力する場合、最大 512 文字を使用できます。

[Create] (作成) を選択します。

https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

検出結果ページで、保存されたルールメニューから、保存されたフィルターセットルールを選択します。これにより、フィルターセットと条件に一致する結果が自動的に表示されます。

この保存されたルールにフィルター条件を追加することもできます。フィルター基準を追加する必要がない場合は、この手順をスキップします。

1 つ以上のフィルター条件を追加するには、ステップ 2 から前の手順 - の最後に従ってくださいTo create a suppression rule using the console。

保存したルールにフィルター条件を追加する必要がない場合は、前の手順 - の最後までのステップ 4 に従いますTo create a suppression rule using the console。

抑制ルールは、CreateFilter API を使用して作成できます。これを行うには、次に示す例の形式に従って JSON ファイルでフィルター条件を指定します。次の例では、test.example.comドメインへの DNS リクエストがあるアーカイブされていない重要度の低い検出結果を抑制します。重要度が中程度の検出結果の場合、入力リストは になります["4", "5", "7"]。重要度が高い検出結果の場合、入力リストは になります["6", "7", "8"]。重大度が重大な検出結果の場合、入力リストは になります["9", "10"]。リスト内の任意の 1 つの値に基づいてフィルターすることもできます。

次の の例では、重要度の低い検出結果のフィルターを追加します。

{
    "Criterion": {
        "service.archived": {
            "Eq": [
                "false"
            ]
        },
        "service.action.dnsRequestAction.domain": {
            "Eq": [
                "test.example.com"
            ]
        },
        "severity": {
            "Eq": [
                "1",
                "2",
                "3"
            ]
        }
    }
}

JSON のフィールド名とそれに相当するコンソールのフィールド名の一覧については、「GuardDuty のプロパティフィルター」を参照してください。

フィルター基準をテストするには、ListFindings API で同じ JSON 基準を使用し、正しい検出結果が選択されていることを確認します。を使用してフィルター条件をテストするには、独自の detectorId と .json ファイルを使用して例 AWS CLI に従います。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty list-findings --detector-id 12abc34d567e8fa901bc2d34e56789f0 --finding-criteria file://criteria.json

抑制ルールとして使用するフィルターを CreateFilter API を使用してアップロードするか、 AWS CLI で次の例に従って独自のディテクター ID、抑制ルール名、.json ファイルを使用してアップロードします。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty create-filter --action ARCHIVE --detector-id 12abc34d567e8fa901bc2d34e56789f0 --name yourfiltername --finding-criteria file://criteria.json