GuardDuty에서 억제 규칙 업데이트

1. https://console.aws.amazon.com/guardduty/에서 GuardDuty 콘솔을 엽니다.

2. 억제 규칙 페이지에서 업데이트할 억제 규칙을 선택합니다.

3. 작업 드롭다운에서 억제 규칙 업데이트를 선택합니다.

4. 그러면 기존 억제 규칙 양식이 열립니다.

5. 필요에 따라 설명, 순위 및 속성 섹션을 변경합니다.

6. 억제 규칙 업데이트를 선택하여 억제 규칙을 업데이트합니다.

API를 사용하여 억제 규칙을 업데이트하려면:

1. UpdateFilter API를 통해 억제 규칙을 업데이트할 수 있습니다. UpdateFilter API를 사용하여 설명, 순위 및 기준만 업데이트할 수 있습니다. 이 세 필드는 모두 선택 사항입니다.

2. 기존 필터를 업데이트하려면 업데이트하려는 필터의 이름이 필요합니다.

3. 기존 기준을 업데이트하려면 필터를 처음 생성한 방법과 유사한 업데이트된 기준으로 JSON 파일을 생성합니다. test.example.com 도메인에 대한 DNS 요청이 있는 보관되지 않은 심각도가 낮은 조사 결과를 억제하는 기준의 예입니다. 중간 심각도 조사 결과의 경우 입력 목록은 ["4", "5", "7"]이 됩니다. 심각도가 높은 조사 결과의 경우 입력 목록은 ["6", "7", "8"]이 됩니다. 중요 심각도 조사 결과의 경우 입력 목록은 ["9", "10"]이 됩니다. 목록에 있는 값 하나를 기준으로 필터링할 수도 있습니다. 다음 예제에서는 심각도가 낮은 결과에 대한 필터를 추가합니다.

   
   {
       "Criterion": {
           "service.action.dnsRequestAction.domain": {
               "Equals": [
                   "test.example.com"
               ]
           },
           "severity": {
               "Equals": [
                   "1",
                   "2",
                   "3"
               ]
           }
       }
   }
                               

   JSON 필드 이름 및 이에 상응하는 콘솔의 목록은 GuardDuty의 속성 필터 단원을 참조하십시오.

   필터 기준을 테스트하려면 ListFindings API에서 동일한 JSON 기준을 사용하고, 올바른 결과가 선택되었는지 확인합니다. 를 사용하여 필터 기준을 테스트하려면 자체 detectorId 및 .json 파일을 사용하여 예제를 AWS CLI 따르세요.

   계정 및 현재 리전에 대한 detectorId를 찾으려면 https://console.aws.amazon.com/guardduty/ 콘솔의 설정 페이지를 참조하거나 ListDetectors API를 실행합니다.

   
   aws guardduty list-detectors --region us-east-1
                               

4. 설명을 업데이트하려면 CLI 호출에 설명 파라미터를 포함할 수 있습니다.

5. 순위를 업데이트하려면 CLI 호출에 순위 파라미터를 포함할 수 있습니다.

6. 억제 필터에서 일반 필터로 업데이트하려면 CLI 호출에서 작업 파라미터와 값을 ARCHIVE로 사용합니다.

7. 기존 필터 API를 업데이트하거나 아래 예제 AWS CLI 를 자체 감지기 ID, 억제 규칙 이름 및 .json 파일과 함께 사용하여 업데이트합니다.

8. 다음은 위에서 설명한 모든 파라미터를 업데이트하는 CLI의 예입니다. - 명령에서 사용 사례에 맞게 업데이트할 특정 파라미터를 선택할 수 있습니다.

   
   aws guardduty update-filter \
   --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
   --region us-east-1 \
   --action ARCHIVE \
   --rank 1 \
   --description "Updated description" \
   --finding-criteria file://criteria.json