Unterdrückungsregeln erstellen in GuardDuty

Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

Klicken Sie auf der Seite Unterdrückungsregeln auf Unterdrückungsregel erstellen, um das Formular Unterdrückungsregel erstellen zu öffnen.

Geben Sie einen Namen für die Unterdrückungsregel ein. Der Name muss 3 bis 64 Zeichen lang sein. Gültige Zeichen sind a-z A-Z, 0-9, Punkt (.), Bindestrich (-) und Unterstrich (_).

Die Beschreibung ist optional. Wenn Sie eine Beschreibung eingeben, kann diese bis zu 512 Zeichen lang sein. Gültige Zeichen sind a-z A-Z, 0-9, Punkt (.), Bindestrich (-), Doppelpunkt (:), Klammern ({} () []), Schrägstrich (/) und Leerzeichen.

Der Rang ist optional. Es kann ein numerischer Wert von 1 bis zur Gesamtzahl der Filter und Unterdrückungsregeln plus 1 sein.

Wählen Sie im Abschnitt Attribute einen Schlüssel und einen Operator aus der Dropdownliste aus.

Geben Sie den Wert entweder „Zeichenfolge“ oder „Datum“ aus dem Datepicker ein, basierend auf dem ausgewählten Schlüssel. Wenn es sich um einen Zeichenkettenwert handelt, geben Sie den Text ein und drücken Sie die Eingabetaste. Bei Zeichenkettenwerten können mehrere Werte hinzugefügt werden.

Zusätzliche Kriterien können hinzugefügt werden, indem Sie Kriterien hinzufügen auswählen, um einen weiteren Satz von Schlüsseln, Operatoren und Werten hinzuzufügen.

Wählen Sie Unterdrückungsregel erstellen aus, um die Unterdrückungsregel zu erstellen und zu speichern.

Öffnen Sie die GuardDuty Konsole unter https://console.aws.amazon.com/guardduty/.

Wählen Sie auf der Seite Ergebnisse im Menü Gespeicherte Regeln eine gespeicherte Filtersatzregel aus. Dadurch werden automatisch der Filtersatz und die Ergebnisse angezeigt, die den Kriterien entsprechen.

Sie können dieser gespeicherten Regel auch weitere Filterkriterien hinzufügen. Wenn Sie keine zusätzlichen Filterkriterien benötigen, überspringen Sie diesen Schritt. Um ein oder mehrere Filterkriterien hinzuzufügen, folgen Sie den Schritten 3 bis 7 und fahren Sie dann mit den folgenden Schritten fort. Adding filters on Findings page

Nachdem Sie die Filterkriterien hinzugefügt und bestätigt haben, dass die gefilterten Ergebnisse Ihren Anforderungen entsprechen, wählen Sie Unterdrückungsregel erstellen aus.

Geben Sie einen Namen für die Unterdrückungsregel ein. Der Name muss 3 bis 64 Zeichen lang sein. Gültige Zeichen sind a-z, 0-9 A-Z, Punkt (.), Bindestrich (-) und Unterstrich (_).

Die Beschreibung ist optional. Wenn Sie eine Beschreibung eingeben, kann diese bis zu 512 Zeichen lang sein.

Wählen Sie Erstellen aus.

Wenn Sie der gespeicherten Regel keine zusätzlichen Filterkriterien hinzufügen müssen, führen Sie die Schritte 4 bis 7 aus, um den Filter zu erstellen.

Sie können Unterdrückungsregeln auch über die CreateFilter-API erstellen. Geben Sie dazu die Filterkriterien in einer JSON-Datei an und folgen Sie dabei dem Format des unten beschriebenen Beispiels. Im folgenden Beispiel werden alle unarchivierten Ergebnisse mit niedrigem Schweregrad unterdrückt, für die eine DNS-Anfrage an die test.example.com Domain gestellt wurde. Bei Befunden mit mittlerem Schweregrad wird die Eingabeliste wie folgt angezeigt. ["4", "5", "7"] Bei Befunden mit hohem Schweregrad lautet die Eingabeliste wie folgt["6", "7", "8"]. Bei Befunden mit kritischem Schweregrad lautet die Eingabeliste wie folgt["9", "10"]. Sie können auch auf der Grundlage eines beliebigen Werts in der Liste filtern.

Im folgenden Beispiel wird ein Filter für Ergebnisse mit niedrigem Schweregrad für Lambda-Funktionen mit dem Funktionsnamenpräfix "MyFunc" und dem Funktions-Tag mit dem Präfix nicht als "“ TestTag hinzugefügt

{
    "Criterion": {
        "service.action.dnsRequestAction.domain": {
            "Equals": [
                "test.example.com"
            ]
        },
        "severity": {
            "Equals": [
                "1",
                "2",
                "3"
            ]
        }
    }
}
                            

Sie können Unterdrückungsregeln mithilfe der Platzhalterzeichen * und? erstellen . Platzhalter in Filtern werden nur bei Verwendung von Matches und NotMatches Operatoren unterstützt. Um eine beliebige Anzahl von Zeichen abzugleichen, können Sie * im Attributwert verwenden. Um ein einzelnes Zeichen abzugleichen, können Sie? im Attributwert. Filter unterstützen maximal 5 Attribute unter einer einzigen Platzhalterbedingung und maximal 5 Platzhalterzeichen innerhalb eines einzelnen Attributs. Das folgende Beispiel fügt einen Filter für den Lambda-Namen hinzu, der dem Präfix „MyFunc" entspricht, aber keine Lambda-Funktionen mit Tags mit "TestTag" als Präfix, gefolgt von 0-2 Zeichen.

{
    "Criterion": {
        "resource.lambdaDetails.functionName": {
            "Matches": [
                "MyFunc*"
            ]
        },
        "resource.lambdaDetails.tags.key": {
            "NotMatches": [
                "TestTag??"
            ]
        }
    }
}
                                

Eine Liste der JSON-Feldnamen und deren Konsolenäquivalent finden Sie unter Eigenschaftsfilter in GuardDuty.

Verwenden Sie zum Testen Ihrer Filterkriterien dasselbe JSON-Kriterium in der ListFindings-API und vergewissern Sie sich, dass die richtigen Erkenntnisse ausgewählt wurden. AWS CLI Folgen Sie dem Beispiel, um Ihre Filterkriterien anhand Ihrer eigenen DetectorID- und JSON-Datei zu testen.

Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die API aus. detectorId ListDetectors

aws guardduty list-detector

aws guardduty list-findings \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--finding-criteria file://criteria.json
                            

Laden Sie Ihren Filter, der als Unterdrückungsregel verwendet werden soll, mit der CreateFilter-API oder über die AWS -CLI hoch, indem Sie dem unten stehenden Beispiel folgen und Ihre eigene Detektor-ID, einen Namen für die Unterdrückungsregel und eine JSON-Datei angeben.

Informationen zu Ihrem Konto und Ihrer aktuellen Region finden Sie auf der Seite „Einstellungen“ in der https://console.aws.amazon.com/guardduty/ Konsole oder führen Sie die ListDetectors API aus. detectorId

aws guardduty create-filter \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--action ARCHIVE \
--name yourfiltername \
--finding-criteria file://criteria.json