エンティティリストまたは IP アドレスリストの更新 - Amazon GuardDuty

エンティティリストまたは IP アドレスリストの更新

エンティティリストと IP アドレスリストは、GuardDuty の脅威検出機能をカスタマイズするのに役立ちます。これらのリストの詳細については、「エンティティリストと IP アドレスリストについて理解する」を参照してください。

リスト名、S3 バケットの場所、想定されるバケット所有者アカウント ID、および既存リスト内のエントリを更新できます。リストのエントリを更新する場合、GuardDuty がリストの最新バージョンを使用するには、そのリストを再度アクティブ化するステップに従う必要があります。エンティティリストまたは IP アドレスリストを更新または有効化した後、このリストが有効になるまでに数分かかる場合があります。詳細については、「GuardDuty リストに関する重要な考慮事項」を参照してください。

注記

リストのステータスが[アクティブ化]、[非アクティブ化]、または[削除保留中] の場合は、アクションを実行する前に数分待つ必要があります。これらのステータスについては、「リストのステータスについて理解する」を参照してください。

アクセス方法のいずれかを選択して、エンティティリストまたは IP アドレスリストを更新します。

Console

  1. https://console.aws.amazon.com/guardduty/ で GuardDuty コンソールを開きます。

  2. ナビゲーションペインで、[リスト]‎‏‎‏ を選択します。

  3. [リスト] ページで、適切なタブ - [エンティティリスト] または [IP アドレスリスト] を選択します。

  4. 更新するリスト (信頼できるリストまたは脅威リスト) を 1 つ選択します。これにより、[アクション] メニューと[編集] メニューが有効になります。

  5. [編集] を選択します。

  6. リストを更新するダイアログボックスで、更新する詳細を指定します。

    リストの命名に関する制約 - リストの名前には、小文字、大文字、数字、ダッシュ (-)、アンダースコア (_) を含めることができます。

    IP アドレスリストの場合、リストの名前は AWS アカウント および リージョン内で一意である必要があります。

    カスタム脅威とカスタムの信頼できるエンティティセットにのみ適用されます – 次のサポートされている形式と一致しない場所の URL を指定すると、リストの追加とアクティベーション中にエラーメッセージが表示されます。

  7. (オプション) 予想されるバケット所有者には、[場所] フィールドで指定された Amazon S3 バケットを所有する AWS アカウント ID を入力できます。

    AWS アカウント ID 所有者を指定しない場合、GuardDuty はエンティティリストと IP アドレスリストに対して異なる動作をします。エンティティリストの場合、GuardDuty は現在のメンバーアカウントが [場所] フィールドで指定された S3 バケットを所有していることを検証します。IP アドレスリストでは、AWS アカウント ID 所有者を指定しない場合、GuardDuty は検証を実行しません。

    GuardDuty がこの S3 バケットが指定されたアカウント ID に属していないと判断した場合、リストのアクティブ化時にエラーが発生します。

  8. [同意します] チェックボックスをオンにし、[リストを更新] を選択します。

API/CLI

次の手順を開始するには、更新するリストリソースに関連付けられている trustedEntitySetId、threatEntitySetId、trustedIpSet、threatIpSet などの ID が必要です。

信頼できるエンティティリストを更新してアクティブ化するには

  1. UpdateTrustedEntitySet を実行します。この信頼されている IP リストを更新するメンバーアカウントの detectorId を必ず指定してください。アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

    リストの命名に関する制約 - リストの名前には、小文字、大文字、数字、ダッシュ (-)、アンダースコア (_) を含めることができます。

  2. または、次の AWS Command Line Interface コマンドを実行してリストの name を更新し、このリストをアクティブ化することもできます。

    aws guardduty update-trusted-entity-set \ 
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--name "AnyOrganization ListEXAMPLE" \
--trusted-entity-set-id d4b94fc952d6912b8f3060768example \
--activate

    detector-id を、信頼できるエンティティリストを作成するメンバーアカウントのディテクター ID、および赤で示されるその他のプレースホルダー値に置き換えます。

    この新しく作成されたリストをアクティブ化しない場合は、 パラメータ --activate を --no-activate に置き換えます。

    expected-bucket-owner パラメータはオプションです。このパラメータの値を指定するかどうかにかかわらず、GuardDuty は、この --detector-id 値に関連付けられた AWS アカウント ID が --location パラメータで指定された S3 バケットを所有していることを検証します。GuardDuty がこの S3 バケットが指定されたアカウント ID に属していないと判断した場合、このリストをアクティブ化するときにエラーが発生します。

    カスタム脅威とカスタムの信頼できるエンティティセットにのみ適用されます – 次のサポートされている形式と一致しない場所の URL を指定すると、リストの追加とアクティベーション中にエラーメッセージが表示されます。

脅威エンティティリストを更新してアクティブ化するには

  1. UpdateThreatEntitySet を実行します。この脅威エンティティリストを作成するメンバーアカウントの detectorId を必ず指定してください。アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

    リストの命名に関する制約 - リストの名前には、小文字、大文字、数字、ダッシュ (-)、アンダースコア (_) を含めることができます。

  2. または、次の AWS Command Line Interface コマンドを実行してリストの name を更新し、このリストをアクティブ化することもできます。

    aws guardduty update-threat-entity-set \ 
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--name "AnyOrganization ListEXAMPLE" \
--threat-entity-set-id d4b94fc952d6912b8f3060768example \
--activate

    detector-id を、脅威エンティティリストを作成するメンバーアカウントのディテクター ID、および赤で示されるその他のプレースホルダー値に置き換えます。

    この新しく作成されたリストをアクティブ化しない場合は、 パラメータ --activate を --no-activate に置き換えます。

    expected-bucket-owner パラメータはオプションです。このパラメータの値を指定するかどうかにかかわらず、GuardDuty は、この --detector-id 値に関連付けられた AWS アカウント ID が --location パラメータで指定された S3 バケットを所有していることを検証します。GuardDuty がこの S3 バケットが指定されたアカウント ID に属していないと判断した場合、このリストをアクティブ化するときにエラーが発生します。

    カスタム脅威とカスタムの信頼できるエンティティセットにのみ適用されます – 次のサポートされている形式と一致しない場所の URL を指定すると、リストの追加とアクティベーション中にエラーメッセージが表示されます。

信頼できる IP アドレスリストを更新してアクティブ化するには

  1. CreateIPSet を実行します。この信頼されている IP アドレスリストを更新するメンバーアカウントの detectorId を必ず指定してください。アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

    リストの命名に関する制約 - リストの名前には、小文字、大文字、数字、ダッシュ (-)、アンダースコア (_) を含めることができます。

    IP アドレスリストの場合、リストの名前は AWS アカウント および リージョン内で一意である必要があります。

  2. あるいは、リストをアクティブ化する次の AWS Command Line Interface コマンドを実行することによってこれも実行できます。

    aws guardduty update-ip-set \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--name "AnyOrganization ListEXAMPLE" \
--ip-set-id d4b94fc952d6912b8f3060768example \
--activate

    detector-id を、信頼できる IP リストを更新するメンバーアカウントのディテクター ID、および赤で示されるその他のプレースホルダー値に置き換えます。

    この新しく作成されたリストをアクティブ化しない場合は、 パラメータ --activate を --no-activate に置き換えます。

    expected-bucket-owner パラメータはオプションです。S3 バケットを所有するアカウント ID を指定しない場合、GuardDuty は検証を実行しません。expected-bucket-owner パラメータのアカウント ID を指定すると、GuardDuty はこの AWS アカウント ID が --locationパラメータで指定された S3 バケットを所有していることを検証します。GuardDuty がこの S3 バケットが指定されたアカウント ID に属していないと判断した場合、このリストをアクティブ化するときにエラーが発生します。

脅威 IP リストを追加およびアクティブ化するには

  1. CreateThreatIntelSet を実行します。この脅威 IP アドレスリストを作成するメンバーアカウントの detectorId を必ず指定してください。アカウントと現在のリージョンの detectorId を検索するには、https://console.aws.amazon.com/guardduty/ コンソールの [設定] ページを参照するか、ListDetectors API を実行します。

    リストの命名に関する制約 - リストの名前には、小文字、大文字、数字、ダッシュ (-)、アンダースコア (_) を含めることができます。

    IP アドレスリストの場合、リストの名前は AWS アカウント および リージョン内で一意である必要があります。

  2. あるいは、リストをアクティブ化する次の AWS Command Line Interface コマンドを実行することによってこれも実行できます。

    aws guardduty update-threat-intel-set \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--name "AnyOrganization ListEXAMPLE" \
--threat-intel-set-id d4b94fc952d6912b8f3060768example \
--activate

    detector-id を脅威 IP リストを更新するメンバーアカウントのディテクター ID と、赤で表示されるその他のプレースホルダー値に置き換えます。

    この新しく作成されたリストをアクティブ化しない場合は、 パラメータ --activate を --no-activate に置き換えます。

    expected-bucket-owner パラメータはオプションです。S3 バケットを所有するアカウント ID を指定しない場合、GuardDuty は検証を実行しません。expected-bucket-owner パラメータのアカウント ID を指定すると、GuardDuty はこの AWS アカウント ID が --locationパラメータで指定された S3 バケットを所有していることを検証します。GuardDuty がこの S3 バケットが指定されたアカウント ID に属していないと判断した場合、このリストをアクティブ化するときにエラーが発生します。