GuardDuty の信頼できる IP アドレスリストを設定する方法を教えてください。

簡単な説明

独自の信頼できる IP リストを使用するように GuardDuty を設定できます。このリストを使用して許可する IP アドレスを構成し、AWS インフラストラクチャやアプリケーションとの通信を保護します。詳細については、「エンティティリストと IP アドレスリストを使用して脅威検出をカスタマイズする」を参照してください。

解決策

信頼できる IP リストを作成する

信頼する IP リストファイルで許容されるフォーマットを確認してください。次に、指示に従って ファイルを Amazon Simple Storage Service (Amazon S3) バケットにアップロードします。

注: 信頼する IP リストファイルは、TXT、STIX、OTX\ _CSV、ALIEN_VAULT、PROOF_POINT、または FIRE\ _EYE 形式である必要があります。信頼できる IP リストは IPv6 アドレスをサポートしていません。信頼できる IP リストごとに、最大 2000 個の IP アドレスと CIDR を設定できます。Detector リソースごとに、単一の信頼する IP リストのみを設定できます。詳細については、「Amazon GuardDuty のクォータ」を参照してください。

IAM ID の権限を確認する

AWS Identity and Access Management (IAM) ID には、信頼する IP リストと GuardDuty に対する権限が付与されていることを確認します。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "guardduty:*IPSet*",
        "guardduty:List*",
        "guardduty:Get*"
      ],
      "Resource": "*"
    }
  ]
}

IAM ID には、GuardDuty サービスリンクロール AWSServiceRoleForAmazonGuardDuty に対する PutRolePolicy および DeleteRolePolicy 権限が必要です。

{
  "Version": "2012-10-17",
  "Statement": [
    {
      "Sid": "VisualEditor0",
      "Effect": "Allow",
      "Action": [
        "iam:DeleteRolePolicy",
        "iam:PutRolePolicy"
      ],
      "Resource": "arn:aws:iam::123456789123:role/aws-service-role/guardduty.amazonaws.com/AWSServiceRoleForAmazonGuardDuty"
    }
  ]
}

詳細については、「IAM ポリシーを編集する」を参照してください。

GuardDuty で信頼する IP リストを追加して有効化する

1. GuardDuty コンソールを開きます。
2. ナビゲーションペインで [リスト] を選択します。
3. [信頼できる IP リストを追加] を選択します。
4. [リスト名] に、わかりやすい名前を入力します。
5. [場所] に、S3 バケットの場所を入力します。たとえば、https://s3.amazonaws.com/bucket-name/file.txt。
6. [フォーマット] ドロップダウンメニューを選択し、リストのファイルタイプを選択します。
7. [同意する] チェックボックスを選択し、[リストを追加] を選択します。
8. [信頼できる IP リスト] で、信頼できる IP リスト名として [アクティブ] を選択します。

注: リストが有効化するまで、最大 15 分かかる場合があります。

GuardDuty で信頼する IP リストを変更した場合は、リストを更新してから再度アクティブ化する必要があります。手順については、「エンティティリストまたは IP アドレスリストの更新」を参照してください。

関連情報

Amazon GuardDuty と AWS ウェブアプリケーションファイアウォールを使用して疑わしいホストを自動的にブロックする方法

GuardDuty が信頼できる IP リストアドレスのアラート結果を送信したのはなぜですか?