[小ネタ]GuardDutyのフィードバック機能を使うと、同じイベントがEventBridgeに送信されます

#Amazon GuardDuty

鈴木純

2024.09.10

みなさん Amazon GuardDuty にはフィードバック機能があることをご存知でしょうか。

コンソールから見ると、検出結果の詳細を開いた時に上部で確認できるここのことです。

guardduty-feedback1

手軽に AWS へフィードバックできる機能なので、より良い機能の提供のためにどんどん活用したいところです。しかし、このフィードバックを送信すると対象の検出結果のイベントが再度送信されたので注意しておきましょう。

やってみる

事前準備として GuardDuty イベントを取得する EventBridge ルールと SNS トピックを作成し、メールで通知できるようにしておきます。

既存の検出結果からフィードバックを送信してみます。フィードバックしたい内容を選択して送信してください。

guardduty-feedback2

フィードバックが完了した検出結果は以下のように表示が変わります。フィードバック内容を変更したい場合は、再送信から可能です。
guardduty-feedback3

フィードバック送信後、少し待つとメールが確認できました。イベントは確かに発生しているようです。

guardduty-feedback4

イベントの確認

フィードバックで通知されたイベントを確認してみると、実際に通知された内容とほぼ同じでした。追加された値として、detail.service の中に"userFeedback": "USEFUL"が追加されています。
id や time は変更されていますが、detail.updatedAtの時間は更新されていませんでした。

{
    "version": "0",
-   "id": "ea244bb1-9fba-063c-c0e2-dbfa95bc5259",
+   "id": "a14fcec2-2d03-66a5-85b1-516ab23785c8",
    "detail-type": "GuardDuty Finding",
    "source": "aws.guardduty",
    "account": "111111111111",
-   "time": "2024-09-09T23:40:03Z",
+   "time": "2024-09-10T00:30:03Z",
    "region": "ap-northeast-1",
    "resources": [],
    "detail": {
        ~~省略~~
        "resource": {
            ~~省略~~
        },
        "service": {
            ~~省略~~
            "eventFirstSeen": "2024-09-09T23:30:43.000Z",
            "eventLastSeen": "2024-09-09T23:30:43.000Z",
            "archived": false,
            "count": 1,
+           "userFeedback": "USEFUL",
        },
        "severity": 5,
        "createdAt": "2024-09-09T23:35:51.347Z",
        "updatedAt": "2024-09-09T23:35:51.347Z",
        "title": "The API ListObjects was invoked from a remote host potentially running Kali Linux.",
        "description": "An API was used to access an S3 Bucket from a remote host that is potentially running the Kali Linux penetration testing tool."
    }
}