Mise à jour des règles de suppression dans GuardDuty

1. Ouvrez la GuardDuty console à l'adresse https://console.aws.amazon.com/guardduty/.

2. Sur la page Règles de suppression, sélectionnez la règle de suppression à mettre à jour.

3. Dans le menu déroulant Actions, sélectionnez Mettre à jour la règle de suppression.

4. Cela ouvre le formulaire de règle de suppression existant.

5. Apportez les modifications nécessaires à la section Description, classement et attributs.

6. Sélectionnez Mettre à jour la règle de suppression pour mettre à jour la règle de suppression.

Pour mettre à jour une règle de suppression à l'aide de l'API :

1. Vous pouvez mettre à jour les règles de suppression via l' UpdateFilter API. Seuls la description, le classement et les critères peuvent être mis à jour à l'aide de l' UpdateFilter API. Ces trois champs sont facultatifs.

2. Pour mettre à jour un filtre existant, vous aurez besoin du nom du filtre que vous souhaitez mettre à jour.

3. Si vous souhaitez mettre à jour les critères existants, créez un fichier JSON avec les critères mis à jour, de la même manière que vous avez créé le filtre pour la première fois. Exemple de critère permettant de supprimer tout résultat non archivé de faible gravité faisant l'objet d'une requête DNS adressée au domaine test.example.com. Pour les résultats de gravité moyenne, la liste d'entrée sera ["4", « 5", « 7"]. Pour les résultats de gravité élevée, la liste d'entrée sera ["6", « 7", « 8"]. Pour les résultats de gravité critique, la liste d'entrée sera ["9", « 10"]. Vous pouvez également filtrer en fonction de n'importe quelle valeur de la liste. L'exemple suivant ajoute un filtre pour les résultats de faible gravité.

   
   {
       "Criterion": {
           "service.action.dnsRequestAction.domain": {
               "Equals": [
                   "test.example.com"
               ]
           },
           "severity": {
               "Equals": [
                   "1",
                   "2",
                   "3"
               ]
           }
       }
   }
                               

   Pour obtenir la liste des noms de champ JSON et leur équivalent dans la console, veuillez consulter Filtres de propriétés dans GuardDuty.

   Pour tester vos critères de filtre, utilisez le même critère JSON dans l'API ListFindings et vérifiez que les résultats corrects ont été sélectionnés. Pour tester vos critères de filtre, AWS CLI suivez l'exemple en utilisant vos propres fichiers DetectoriD et .json.

   detectorIdPour trouver les paramètres correspondant à votre compte et à votre région actuelle, consultez la page Paramètres de la https://console.aws.amazon.com/guardduty/console ou exécutez l'ListDetectorsAPI.

   
   aws guardduty list-detectors --region us-east-1
                               

4. Si vous souhaitez mettre à jour la description, vous pouvez inclure le paramètre de description dans l'appel de la CLI.

5. Si vous souhaitez mettre à jour le classement, vous pouvez inclure le paramètre rank dans l'appel de la CLI.

6. Si vous souhaitez passer d'un filtre de suppression à un filtre normal, utilisez le paramètre d'action et la valeur sous la forme ARCHIVE dans l'appel de la CLI.

7. Mettez à jour votre API de filtre existante ou utilisez l' AWS CLI exemple ci-dessous avec votre propre identifiant de détecteur, un nom pour la règle de suppression et un fichier .json.

8. Voici un exemple de CLI qui met à jour tous les paramètres décrits ci-dessus. Vous pouvez sélectionner les paramètres spécifiques à mettre à jour pour votre cas d'utilisation à partir de la commande -

   
   aws guardduty update-filter \
   --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
   --region us-east-1 \
   --action ARCHIVE \
   --rank 1 \
   --description "Updated description" \
   --finding-criteria file://criteria.json