GuardDuty で抑制ルールを作成する

https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

抑制ルールページで、抑制ルールの作成をクリックして、抑制ルールの作成フォームを開きます。

抑制ルールの名前を入力します。名前は 3～64 文字にする必要があります。有効な文字は、a-z、A～Z、0～9、ピリオド ( )、ハイフン (-)、アンダースコア (_) です。

説明はオプションです。説明を入力する場合、最大 512 文字まで使用できます。有効な文字は、a～z、A～Z、0～9、ピリオド (.)、ハイフン (-)、コロン (:)、括弧 ({}()[])、スラッシュ (/)、スペースです。

Rank はオプションです。1 からフィルターと抑制ルールの合計数、さらに 1 までの数値を指定できます。

属性セクションで、ドロップダウンからキーと演算子を選択します。

選択したキーに基づいて、datepicker から「文字列」または「日付」のいずれかの値を入力します。文字列値の場合は、テキストを入力して Enter キーを押します。文字列値の場合、複数の値を追加できます。

追加の条件を追加するには、条件を追加 を選択して、キー、演算子、値 (複数可) の別のセットを追加します。

抑制ルールを作成して保存するには、抑制ルールの作成を選択します。

https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

[検出結果] ページで、[保存されたルール] メニューから、保存されたフィルターセットルールを選択します。これにより、フィルターセットと条件に一致する検出結果が自動的に表示されます。

この保存されたルールにフィルター条件を追加することもできます。フィルター基準を追加する必要がない場合は、この手順をスキップします。1 つ以上のフィルター条件を追加するには、「Adding filters on Findings page」のステップ 3 ～ 7 に従い、次のステップに進みます。

フィルター条件を追加し、フィルタリングされた結果が要件を満たしていることを確認したら、[抑制ルールの作成] を選択します。

抑制ルールの[名前] を入力します。名前は 3～64 文字にする必要があります。有効な文字は、a-z、A～Z、0～9、ピリオド ( )、ハイフン (-)、アンダースコア (_) です。

説明はオプションです。説明を入力する場合、最大 512 文字まで使用できます。

[作成] を選択します。

保存したルールにフィルター条件を追加する必要がある場合は、ステップ 4～7 に従ってフィルターを作成します。

抑制ルールは、CreateFilter API を使用して作成できます。これを行うには、次に示す例の形式に従って JSON ファイルでフィルター条件を指定します。次の例では、test.example.com ドメインへの DNS リクエストが行われた未アーカイブの重大度の低い検出結果を抑制します。重大度が中の検出結果の場合、入力リストは ["4", "5", "7"] になります。重大度が高の検出結果の場合、入力リストは ["6", "7", "8"] になります。重大度が高の検出結果の場合、入力リストは ["9", "10"] になります。リスト内の任意の 1 つの値に基づいてフィルターすることもできます。

次の例では、関数名のプレフィックスがMyFunc」の Lambda 関数とプレフィックスがTestTag」ではない関数タグの重要度の低い検出結果のフィルターを追加します。

{
    "Criterion": {
        "service.action.dnsRequestAction.domain": {
            "Equals": [
                "test.example.com"
            ]
        },
        "severity": {
            "Equals": [
                "1",
                "2",
                "3"
            ]
        }
    }
}
                            

ワイルドカード文字 * と を使用して抑制ルールを作成できます。。 フィルターのワイルドカードは、一致演算子と NotMatches 演算子のみを使用してサポートされます。任意の数の文字を一致させるには、属性値に * を使用し、1 文字を一致させるには、 を使用できますか? 属性値の 。フィルタは、1 つのワイルドカード条件で最大 5 つの属性をサポートし、1 つの属性内で最大 5 つのワイルドカード文字をサポートします。次の例では、プレフィックスMyFunc」に一致する Lambda 名のフィルターを追加しますが、プレフィックスとしてTestTag」、その後に 0～2 文字のタグを持つ Lambda 関数は追加しません。

{
    "Criterion": {
        "resource.lambdaDetails.functionName": {
            "Matches": [
                "MyFunc*"
            ]
        },
        "resource.lambdaDetails.tags.key": {
            "NotMatches": [
                "TestTag??"
            ]
        }
    }
}
                                

JSON のフィールド名とそれに相当するコンソールのフィールド名の一覧については、「GuardDuty のプロパティフィルター」を参照してください。

フィルター基準をテストするには、ListFindings API で同じ JSON 基準を使用し、正しい検出結果が選択されていることを確認します。を使用してフィルター条件をテストするには、独自の detectorId と .json ファイルを使用して例 AWS CLI に従います。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty list-detector

aws guardduty list-findings \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--finding-criteria file://criteria.json
                            

抑制ルールとして使用するフィルターを CreateFilter API を使用してアップロードするか、 AWS CLI で次の例に従って独自のディテクター ID、抑制ルール名、.json ファイルを使用してアップロードします。

アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

aws guardduty create-filter \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--action ARCHIVE \
--name yourfiltername \
--finding-criteria file://criteria.json