Actualización de las reglas de supresión en GuardDuty

1. Abre la GuardDuty consola en. https://console.aws.amazon.com/guardduty/

2. En la página de reglas de supresión, seleccione la regla de supresión que desee actualizar.

3. En el menú desplegable Acciones, selecciona Actualizar la regla de supresión.

4. Esto abre el formulario de regla de supresión existente.

5. Realice los cambios necesarios en la sección de descripción, rango y atributos.

6. Seleccione Actualizar regla de supresión para actualizar la regla de supresión.

Para actualizar una regla de supresión mediante la API:

1. Puedes actualizar las reglas de supresión a través de la UpdateFilter API. Solo la descripción, el rango y los criterios se pueden actualizar mediante la UpdateFilter API. Todos estos tres campos son opcionales.

2. Para actualizar un filtro existente, necesitará el nombre del filtro que planea actualizar.

3. Si desea actualizar los criterios existentes, cree un archivo JSON con los criterios actualizados de forma similar a como creó el filtro por primera vez. Un ejemplo de criterio para suprimir cualquier hallazgo de baja gravedad no archivado que contenga una solicitud de DNS al dominio test.example.com. Para los resultados de gravedad media, la lista de entrada será ["4", «5", «7"]. Para los hallazgos de gravedad alta, la lista de entrada será ["6", «7", «8"]. En el caso de los hallazgos de gravedad crítica, la lista de entrada será ["9", «10"]. También puede filtrar en función de cualquier valor de la lista. En el siguiente ejemplo, se añade un filtro para los resultados de gravedad baja.

   
   {
       "Criterion": {
           "service.action.dnsRequestAction.domain": {
               "Equals": [
                   "test.example.com"
               ]
           },
           "severity": {
               "Equals": [
                   "1",
                   "2",
                   "3"
               ]
           }
       }
   }
                               

   Para obtener una lista de los nombres de campo JSON y su equivalente de consola, consulte La propiedad filtra GuardDuty.

   Para probar sus criterios de filtro, utilice el mismo criterio de JSON en la API ListFindings y confirme que se hayan seleccionado los resultados correctos. Para probar tus criterios de filtro, AWS CLI sigue el ejemplo con tu propio DetectoriD y un archivo.json.

   Para encontrar los detectorId de tu cuenta y región actuales, consulta la página de configuración de la https://console.aws.amazon.com/guardduty/consola o ejecuta la API. ListDetectors

   
   aws guardduty list-detectors --region us-east-1
                               

4. Si desea actualizar la descripción, puede incluir el parámetro de descripción en la llamada CLI.

5. Si desea actualizar la clasificación, puede incluir el parámetro de clasificación en la llamada CLI.

6. Si desea pasar de un filtro de supresión a un filtro normal, utilice el parámetro de acción y el valor ARCHIVE en la llamada CLI.

7. Actualice su API de filtro existente o utilice el AWS CLI siguiente ejemplo con su propio ID de detector, un nombre para la regla de supresión y un archivo.json.

8. El siguiente es un ejemplo de CLI que actualiza todos los parámetros descritos anteriormente. Puede seleccionar los parámetros específicos que desea actualizar para su caso de uso con el comando -

   
   aws guardduty update-filter \
   --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
   --region us-east-1 \
   --action ARCHIVE \
   --rank 1 \
   --description "Updated description" \
   --finding-criteria file://criteria.json