AWS IoT Device Defenderで検出されたアラームの検証状態を管理出来るようになりました

いわさ

2021.09.26

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

いわさです。

AWS IoT Device Defenderにはセキュリティプロファイルで想定する動作を定義することで、想定外の挙動を検出してアラームとして扱う機能があります。
そのアラームに「検証状態」を管理することが出来るようになったとのことです。

alarm verification state
After an alarm has been created, you can verify the alarm as True positive, Benign positive, False positive, or Unknown. You can also add a description to your alarm verification state. You can view, organize, and filter AWS IoT Device Defender alarms by using one of the four verification states. You can use alarm verification states and related descriptions to inform members of your team. This helps your team to take follow-up actions, for example, performing mitigation actions on True positive alarms, skipping Benign positive alarms, or continuing investigation on Unknown alarms. The default verification state for all alarms is Unknown.

マネジメントコンソールの日本語に従うと以下の４つの検証状態としてアラームをマークすることでアラームの状態管理を行うことが出来るというもののようです。

不明
真検知
誤検知
良性の検知

AWS IoT Device Defender Detect自体触るのは初めてですが、本日はちょっと状態管理も含めて触ってみました。

セキュリティプロファイルの設定と検出

では、まずはセキュリティプロファイルの設定から行います。
設定内容と検証コードの一部はAWS IoT Device Defenderハンズオンを参考にさせて頂きました。

    # Start sending dummy data
    topic = BASE_TOPIC + device_name
    logging.info("topic: %s", topic)
    while True:
        # now = datetime.now().strftime('%Y-%m-%dT%H:%M:%S')
        # tmp = 20 + random.randint(-5, 5)
        # hum = 50 + random.randint(-10, 10)
        # payload = {"DEVICE_NAME": device_name, "TIMESTAMP": now, "TEMPERATURE": tmp, "HUMIDITY": hum}
        # logger.debug("  payload: %s", payload)

        # mqtt_connection.publish(
        #     topic=topic,
        #     payload=json.dumps(payload),
        #     qos=mqtt.QoS.AT_LEAST_ONCE)

        bigstr = ''.join(str(e) for e in range(1000))
        mqtt_connection.publish(
            topic=topic,
            payload=bigstr,
            qos=mqtt.QoS.AT_LEAST_ONCE)

        time.sleep(wait_time)

1500以下を想定しているプロファイルに対して、2500くらいのメッセージを送信しています。　　すぐ検出されました。