Atualizando as regras de supressão no GuardDuty

1. Abra o GuardDuty console em https://console.aws.amazon.com/guardduty/.

2. Na página Regras de supressão, selecione a regra de supressão a ser atualizada.

3. No menu suspenso Ações, selecione Atualizar regra de supressão.

4. Isso abre o formulário existente da regra de supressão.

5. Faça alterações na seção Descrição, Classificação e Atributos conforme necessário.

6. Selecione Atualizar regra de supressão para atualizar a regra de supressão.

Para atualizar uma regra de supressão usando a API:

1. Você pode atualizar as regras de supressão por meio da UpdateFilter API. Somente a descrição, a classificação e os critérios podem ser atualizados usando a UpdateFilter API. Todos esses três campos são opcionais.

2. Para atualizar um filtro existente, você precisará do nome do filtro que planeja atualizar.

3. Se você quiser atualizar os critérios existentes, crie um arquivo JSON com os critérios atualizados, semelhante à forma como você criou o filtro pela primeira vez. Um exemplo de critério para suprimir qualquer descoberta não arquivada de baixa gravidade que tenha uma solicitação de DNS para o domínio test.example.com. Para resultados de severidade média, a lista de entrada será ["4", “5", “7"]. Para resultados de alta severidade, a lista de entrada será ["6", “7", “8"]. Para constatações críticas de gravidade, a lista de entrada será ["9", “10"]. Você também pode filtrar com base em qualquer valor na lista. O exemplo a seguir adiciona um filtro para descobertas de baixa gravidade.

   
   {
       "Criterion": {
           "service.action.dnsRequestAction.domain": {
               "Equals": [
                   "test.example.com"
               ]
           },
           "severity": {
               "Equals": [
                   "1",
                   "2",
                   "3"
               ]
           }
       }
   }
                               

   Para obter uma lista de nomes de campo JSON e seus equivalentes de console, consulte Filtros de propriedades em GuardDuty.

   Para testar seus critérios de filtro, use o mesmo critério JSON na API ListFindings e confirme se as descobertas corretas foram selecionadas. Para testar seus critérios de filtro usando, AWS CLI siga o exemplo usando seu próprio DetectorID e arquivo.json.

   Para encontrar a opção detectorId para sua conta e região atual, consulte a página de configurações no https://console.aws.amazon.com/guardduty/console ou execute a ListDetectorsAPI.

   
   aws guardduty list-detectors --region us-east-1
                               

4. Se quiser atualizar a descrição, você pode incluir o parâmetro description na chamada da CLI.

5. Se quiser atualizar a classificação, você pode incluir o parâmetro de classificação na chamada da CLI.

6. Se você quiser atualizar de um filtro de supressão para um filtro normal, use o parâmetro de ação e o valor como ARCHIVE na chamada da CLI.

7. Atualize sua API de filtro existente ou use o AWS CLI exemplo abaixo com seu próprio ID de detector, um nome para a regra de supressão e o arquivo.json.

8. Veja a seguir um exemplo de CLI que atualiza todos os parâmetros descritos acima. Você pode selecionar os parâmetros específicos a serem atualizados para seu caso de uso a partir do comando -

   
   aws guardduty update-filter \
   --detector-id 12abc34d567e8fa901bc2d34e56789f0 \
   --region us-east-1 \
   --action ARCHIVE \
   --rank 1 \
   --description "Updated description" \
   --finding-criteria file://criteria.json