GuardDutyの通知が重要度でフィルター可能になりました

GuardDutyの通知レベルがフィルター可能になりました

#Amazon GuardDuty

#Amazon EventBridge

#AWS

吉井亮

2020.02.11

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

こんにちは。
ご機嫌いかがでしょうか。
"No human labor is no human error" が大好きな吉井亮です。

GuardDutyの通知レベルがフィルター可能になりました。
これは嬉しいアップデートです。

GuardDuty

GuardDuty 使ってますか！？

悪意のある操作や不正な動作を継続的にモニタリングする脅威検出サービスで
何も考えずに有効にしてもいいほどの有用なサービスだと個人的に思っています。

こちらを参考にして GuardDuty を有効化してみてはいかがでしょうか。
一発でGuardDutyを全リージョン有効化して通知設定するテンプレート作った
 Amazon GuardDutyを導入する前に知っておきたいこと

通知の悩み

さて、GuardDuty を有効にすると一点だけ悩みがあります。
検知が多く SNS 通知していると、大量に通知が届いてしまうことです。

自動アーカイブをすることである程度はフィルター可能ですが
自動アーカイブの設定も楽ではありません。
GuardDutyでフィルタ結果の自動アーカイブに対応したのでやってみた

Amazon EventBridge アップデート

アメリカ時間の2020年2月10日に嬉しいアップデートがありました。
EventBridge のイベントパターンで数値のレンジ一致が指定ができるようになりました。
数値のレンジ一致以外にも、属性の有無やプレフィクスの比較もあります。詳しくは以下。
Introducing content filtering for Amazon EventBridge

やってみた

GuardDuty の通知を減らせるのでは？と思い試してみました。

EvendBridge の設定

EvendBridge を開きます。

ルールを作成 をクリックします。

パターンを定義にある イベントパターン を選択、
カスタムパターン を選択、その横にあるテキストボックスに以下を貼り付けます。

{
    "source": [
        "aws.guardduty"
    ],
    "detail-type": [
        "GuardDuty Finding"
    ],
    "detail": {
        "severity": [
            { "numeric": [ ">=", 4 ] }
        ]
    }
}

この例では重要度中以上を通知対象としています。
severity は GuardDuty で定義されている重要度レベルを示しており
数値と重要度は以下の通りです。