View a markdown version of this page

Création de règles de suppression dans GuardDuty - Amazon GuardDuty

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Création de règles de suppression dans GuardDuty

Une règle de suppression est un ensemble de critères qui inclut l'utilisation d'attributs de filtre et la fourniture de valeurs pour lesquelles vous ne GuardDuty souhaitez pas générer de type de recherche. Les types de résultats correspondant à ces critères sont automatiquement archivés. Pour réduire le bruit, les résultats supprimés ne sont envoyés à aucun Services AWS des sites que vous pourriez intégrer. Pour plus d'informations sur les cas d'utilisation courants liés à la création de règles de suppression, consultezRègles de suppression.

Vous pouvez visualiser, créer et gérer les règles de suppression à l'aide de la page Règles de suppression de la GuardDuty console. Les règles de suppression peuvent également être générées à partir de vos filtres enregistrés existants. Pour plus d’informations sur la création de filtres, veuillez consulter Filtrer les résultats dans GuardDuty.

Les critères de filtre peuvent inclure une correspondance exacte à l'aide de Equals et d'NotEqualsopérateurs, une correspondance générique à l'aide des Correspondances et des NotMatches opérateurs ou une correspondance de comparaison à l'aide des LessThanEquals opérateurs GreaterThan GreaterThanEquals, LessThan et. Vous trouverez plus d'informations sur les opérateurs disponibles Conditions sur cette page.

Choisissez votre méthode d'accès préférée pour créer une règle de suppression permettant de GuardDuty rechercher des types.

Console
Pour créer une règle de suppression à l'aide de la console :

  1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

  2. Sur la page Règles de suppression, cliquez sur Créer une règle de suppression pour ouvrir le formulaire Créer une règle de suppression.

  3. Entrez un nom pour la règle de suppression. Le nom doit être composé de 3 à 64 caractères. Les caractères valides sont les suivants : a-z A-Z, 0-9, point (.), tiret (-) et trait de soulignement (_).

  4. La description est facultative. Si vous saisissez une description, celle-ci peut comporter jusqu'à 512 caractères. Les caractères valides sont les suivants : a-z A-Z, 0-9, point (.), tiret (-), deux-points (:), crochets ({} () []), barre oblique (/) et espace.

  5. Le rang est facultatif. Il peut s'agir d'une valeur numérique comprise entre 1 et le nombre total de filtres et de règles de suppression, plus 1.

  6. Dans la section Attributs, sélectionnez une clé et un opérateur dans la liste déroulante.

  7. Entrez la valeur « chaîne » ou « date » dans le sélecteur de date en fonction de la clé sélectionnée. S'il s'agit d'une valeur de chaîne, saisissez le texte et appuyez sur Entrée. Plusieurs valeurs peuvent être ajoutées en cas de valeurs de chaîne.

  8. Des critères supplémentaires peuvent être ajoutés en sélectionnant Ajouter des critères pour ajouter un autre ensemble de clés, d'opérateurs et de valeurs.

  9. Sélectionnez Créer une règle de suppression pour créer et enregistrer la règle de suppression.

Vous pouvez également créer une règle de suppression à partir d'un filtre enregistré existant. Pour plus d'informations sur la création de filtres, veuillez consulter Filtrer les résultats dans GuardDuty.

Pour créer une règle de suppression à partir d'un filtre enregistré :

  1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

  2. Sur la page Résultats, dans le menu Règles enregistrées, sélectionnez une règle de jeu de filtres enregistrée. Cela affichera automatiquement l'ensemble de filtres et les résultats correspondant aux critères.

  3. Vous pouvez également ajouter d'autres critères de filtre à cette règle enregistrée. Si vous n'avez pas besoin de critères de filtre supplémentaires, ignorez cette étape. Pour ajouter un ou plusieurs critères de filtre, suivez les étapes 3 à 7 de la sectionAdding filters on Findings page, puis passez aux étapes suivantes.

  4. Après avoir ajouté les critères de filtrage et confirmé que les résultats filtrés répondent à vos exigences, choisissez Créer une règle de suppression.

  5. Entrez un nom pour la règle de suppression. Le nom doit être composé de 3 à 64 caractères. Les caractères valides sont les suivants : a-z A-Z, 0-9, point (.), tiret (-) et trait de soulignement (_).

  6. La description est facultative. Si vous saisissez une description, celle-ci peut comporter jusqu'à 512 caractères.

  7. Choisissez Créer.

  8. Si vous n'avez pas besoin d'ajouter des critères de filtre supplémentaires à la règle enregistrée, suivez les étapes 4 à 7 pour créer le filtre.

API/CLI
Pour créer une règle de suppression à l'aide de l'API :

  1. Vous pouvez créer des règles de suppression via l'API CreateFilter. Pour ce faire, spécifiez les critères de filtre dans un fichier JSON en suivant le format de l'exemple détaillé ci-dessous. L'exemple ci-dessous supprimera tous les résultats non archivés de faible gravité contenant une requête DNS adressée au test.example.com domaine. Pour les résultats de gravité moyenne, la liste d'entrée sera["4", "5", "7"]. Pour les résultats de gravité élevée, la liste d'entrée sera["6", "7", "8"]. Pour les résultats de gravité critique, la liste d'entrée sera["9", "10"]. Vous pouvez également filtrer en fonction de n'importe quelle valeur de la liste.

    L'exemple suivant ajoute un filtre pour les résultats de faible gravité pour les fonctions lambda dont le nom de fonction est le préfixe « MyFunc » et la balise de fonction dont le préfixe n'est pas « » TestTag 

    
{
    "Criterion": {
        "service.action.dnsRequestAction.domain": {
            "Equals": [
                "test.example.com"
            ]
        },
        "severity": {
            "Equals": [
                "1",
                "2",
                "3"
            ]
        }
    }
}

    Vous pouvez créer des règles de suppression à l'aide de caractères génériques * et ? . Les caractères génériques dans les filtres sont pris en charge à l'aide des correspondances et des NotMatches opérateurs uniquement. Pour faire correspondre un nombre quelconque de caractères, vous pouvez utiliser * dans la valeur de l'attribut et pour faire correspondre un seul caractère, vous pouvez utiliser ? dans la valeur de l'attribut. Les filtres prennent en charge un maximum de 5 attributs sous une seule condition de caractère générique et un maximum de 5 caractères génériques dans un seul attribut. L'exemple suivant ajoute un filtre pour le nom Lambda correspondant au préfixe « MyFunc », mais pas pour les fonctions Lambda dont les balises ont pour préfixe « TestTag », suivi de 0 à 2 caractères. 

    
{
    "Criterion": {
        "resource.lambdaDetails.functionName": {
            "Matches": [
                "MyFunc*"
            ]
        },
        "resource.lambdaDetails.tags.key": {
            "NotMatches": [
                "TestTag??"
            ]
        }
    }
}

    Pour obtenir la liste des noms de champ JSON et leur équivalent dans la console, veuillez consulter Filtres de propriétés dans GuardDuty.

    Pour tester vos critères de filtre, utilisez le même critère JSON dans l'API ListFindings et vérifiez que les résultats corrects ont été sélectionnés. Pour tester vos critères de filtre, AWS CLI suivez l'exemple en utilisant votre propre DetectorID et votre fichier .json.

    detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

    aws guardduty list-detector
    
aws guardduty list-findings \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--finding-criteria file://criteria.json
    Note

    La correspondance des caractères génériques n'est pas disponible pour ListFindings et. GetFindingsStatistics Les critères contenant des caractères génériques ne peuvent pas être validés à l'aide de ListFindings et GetFindingsStatistics.

  2. Téléchargez votre filtre à utiliser en tant que règle de suppression avec l'API CreateFilter ou via l'interface de ligne de commande AWS en suivant l'exemple ci-dessous avec votre ID de détecteur, un nom pour la règle de suppression et votre fichier .json.

    detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/ console ou exécutez l'ListDetectorsAPI.

    
aws guardduty create-filter \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--action ARCHIVE \
--name yourfiltername \
--finding-criteria file://criteria.json

Vous pouvez consulter la liste de vos filtres par programmation à l'aide de l'API ListFilter. Vous pouvez consulter les détails d'un filtre individuel en fournissant le nom du filtre à l'API GetFilter. Mettez à jour les filtres à l'aide de UpdateFilter ou supprimez-les avec l'API DeleteFilter.