GuardDuty FindingID のカスタム・イベント・プロパティーの追加

Amazon Detective 統合が有効になっていて、GuardDuty ログ・ソースから発生したイベントから生成されたオフェンスがある場合は、GuardDuty FindingID のカスタム・イベント・プロパティーを追加して、統合を最大限に活用できるようにします。

1. 「管理」 タブで、 「カスタム・イベント・プロパティー」をクリックしてから、 「カスタム・イベント・プロパティー」 ウィンドウで 「追加」 をクリックします。
2. 以下の表でプロパティーを構成します。

   フィールド	値
   新規プロパティー	FindingID 重要: 名前のスペルは、示されているとおりにする必要があります。
   ルール、転送プロファイル、検索の索引付けでプロパティーを使用できるようにする	チェック・ボックスを選択します。
   フィールド・タイプ	AlphaNumeric
   説明	必要に応じて入力します。
   有効	チェック・ボックスを選択します。
   ログ・ソース・タイプ	Amazon GuardDuty
   ログ・ソース	すべて
   カテゴリー	このオプションを選択します。
   上位カテゴリー	任意
   下位カテゴリー	任意
   正規表現	"detail"\s*:\s*\{(.*)"id"\:"(.*?)"
   キャプチャー・グループ	2

3. 「保存」 をクリックして、 「カスタム・イベント・プロパティー」 ウィンドウを閉じます。

結果

「AWS オフェンスの概要 (AWS Offense Overview)」ダッシュボードでオフェンスを調査すると、GuardDuty の検出結果が 「オフェンスの AWS リソース (AWS resources in offense)」 ウィンドウに表示されます。 オフェンスに関連付けられている最新の検出結果を表示するには、「更新」アイコンをクリックします。