Criação de regras de supressão em GuardDuty

Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

Na página Regras de supressão, clique em Criar regra de supressão para abrir o formulário Criar regra de supressão.

Insira um Nome para a regra de supressão. O nome deve ter de 3 a 64 caracteres. Os caracteres válidos são a-z A-Z, 0-9, ponto (.), hífen (-) e sublinhado (_).

A descrição é opcional. Se você inserir uma descrição, ela pode ter até 512 caracteres. Os caracteres válidos são a-z A-Z, 0-9, ponto (.), hífen (-), dois pontos (:), colchetes ({} () []), barra (/) e espaço.

A classificação é opcional. Pode ser um valor numérico de 1 até a contagem total de filtros e regras de supressão, mais 1.

Na seção Atributos, selecione uma chave e um operador no menu suspenso.

Insira o valor “string” ou “date” do selecionador de data com base na chave selecionada. Se for um valor de cadeia de caracteres, digite o texto e pressione enter. Vários valores podem ser adicionados no caso de valores de string.

Critérios adicionais podem ser adicionados selecionando Adicionar critérios para adicionar outro conjunto de chave, operador e valor (es).

Selecione Criar regra de supressão para criar e salvar a regra de supressão.

Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

Na página Descobertas, no menu Regras salvas, selecione uma regra de conjunto de filtros salva. Isso exibirá automaticamente o conjunto de filtros e as descobertas que correspondem aos critérios.

Você também pode adicionar mais critérios de filtro a essa regra salva. Se você não precisar de critérios de filtro adicionais, pule esta etapa. Para adicionar um ou mais critérios de filtro, siga as etapas de 3 a 7 em Adding filters on Findings page e continue com as etapas a seguir.

Depois de adicionar os critérios de filtro e confirmar que as descobertas filtradas atendem aos seus requisitos, escolha Criar regra de supressão.

Insira um nome para a regra de supressão. O nome deve ter de 3 a 64 caracteres. Os caracteres válidos são a-z A-Z, 0-9, ponto (.), hífen (-) e sublinhado (_).

A descrição é opcional. Se você inserir uma descrição, ela pode ter até 512 caracteres.

Escolha Criar.

Se você não precisar adicionar outros critérios de filtro à regra salva, siga as etapas de 4 a 7 para criar o filtro.

Também é possível criar regras de supressão por meio da API CreateFilter. Para fazer isso, especifique os critérios de filtro em um arquivo JSON seguindo o formato do exemplo detalhado abaixo. O exemplo abaixo suprimirá qualquer descoberta não arquivada de baixa gravidade que tenha uma solicitação de DNS para o domínio test.example.com. Para descobertas de gravidade média, a lista de entrada será ["4", "5", "7"]. Para descobertas de alta gravidade, a lista de entrada será ["6", "7", "8"]. Para descobertas de gravidade crítica, a lista de entrada será ["9", "10"]. Você também pode filtrar com base em qualquer valor na lista.

O exemplo a seguir adiciona um filtro para descobertas de baixa severidade para funções lambda com prefixo de nome de função "MyFunc" e tag de função com prefixo diferente de "” TestTag

{
    "Criterion": {
        "service.action.dnsRequestAction.domain": {
            "Equals": [
                "test.example.com"
            ]
        },
        "severity": {
            "Equals": [
                "1",
                "2",
                "3"
            ]
        }
    }
}
                            

Você pode criar regras de supressão usando caracteres curinga * e? . Os curingas nos filtros são compatíveis somente com o uso de correspondências e NotMatchesoperadores. Para corresponder a qualquer número de caracteres, você pode usar * no valor do atributo e, para corresponder a um único caractere, você pode usar? no valor do atributo. Os filtros suportam no máximo 5 atributos em uma única condição curinga e no máximo 5 caracteres curinga em um único atributo. O exemplo a seguir adiciona um filtro para o nome Lambda correspondente ao prefixo “MyFunc", mas não para funções Lambda com tags com "TestTag" como prefixo seguido por 0-2 caracteres.

{
    "Criterion": {
        "resource.lambdaDetails.functionName": {
            "Matches": [
                "MyFunc*"
            ]
        },
        "resource.lambdaDetails.tags.key": {
            "NotMatches": [
                "TestTag??"
            ]
        }
    }
}
                                

Para obter uma lista de nomes de campo JSON e seus equivalentes de console, consulte Filtros de propriedades em GuardDuty.

Para testar seus critérios de filtro, use o mesmo critério JSON na API ListFindings e confirme se as descobertas corretas foram selecionadas. Para testar seus critérios de filtro usando, AWS CLI siga o exemplo usando seu próprio DetectorID e arquivo.json.

Para encontrar a opção detectorId para sua conta e região atual, consulte a página de configurações no https://console.aws.amazon.com/guardduty/console ou execute a ListDetectorsAPI.

aws guardduty list-detector

aws guardduty list-findings \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--finding-criteria file://criteria.json
                            

Carregue seu filtro para ser usado como regra de supressão com a API CreateFilter ou usando a AWS CLI seguindo o exemplo abaixo com seu próprio ID de detector, um nome para a regra de supressão e um arquivo .json.

Para encontrar a opção detectorId para sua conta e região atual, consulte a página de configurações no https://console.aws.amazon.com/guardduty/console ou execute a ListDetectorsAPI.

aws guardduty create-filter \
--detector-id 12abc34d567e8fa901bc2d34e56789f0 \
--region us-east-1 \
--action ARCHIVE \
--name yourfiltername \
--finding-criteria file://criteria.json