このページは Cloud Translation API によって翻訳されました。

Amazon GuardDuty を Google SecOps と統合する

このドキュメントでは、Amazon GuardDuty を Google Security Operations（Google SecOps）と統合する方法について説明します。

統合バージョン: 8.0

前提条件

コネクタの実行など、統合への読み取り専用アクセスが必要な場合は、AmazonGuardDutyReadOnlyAccess ポリシーを使用します。

すべての統合機能にフルアクセスするには、AmazonGuardDutyFullAccess ポリシーを使用します。

ポリシーの使用の詳細については、AWS マネージドポリシーをご覧ください。

統合のパラメータ

次のパラメータを使用して統合を構成します。

パラメータ名	種類	デフォルト値	必須	説明
AWS アクセスキー ID	文字列	なし	○	統合で使用する AWS アクセスキー ID。
AWS シークレットキー	パスワード	なし	○	統合で使用する AWS 秘密鍵。
AWS のデフォルトリージョン	文字列	なし	○	統合で使用する AWS のデフォルトリージョン（例: us-west-1）。
リモートで実行	チェックボックス	オフ	いいえ	構成した統合をリモートで実行するには、フィールドのチェックボックスをオンにします。オンにすると、リモートユーザー（エージェント）を選択するオプションが表示されます。

Google SecOps で統合を構成する手順については、統合を構成するをご覧ください。

必要に応じて、後の段階で変更できます。統合インスタンスを構成すると、ハンドブックで使用できるようになります。複数のインスタンスの構成とサポートの方法については、複数のインスタンスのサポートをご覧ください。

ユースケース

ハンドブックまたは手動アクションを使用して、AWS システムの脅威を検出して管理します。
Amazon GuardDuty の検出結果を取り込み、GuardDuty アーカイブに移動します。

操作

アクションの詳細については、デスクから保留中のアクションに対応すると手動アクションを実行するをご覧ください。

Ping

Amazon GuardDuty への接続をテストします。

パラメータ

なし

実行

このアクションはエンティティに対しては実行されず、必須入力パラメータもありません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	成功した場合: 「指定された接続パラメータを使用して AWS GuardDuty サーバーに正常に接続されました。」それ以外の場合: 「AWS に接続できませんでした。」成功した場合: 「指定された接続パラメータを使用して AWS GuardDuty サーバーに正常に接続されました。」それ以外の場合: 「AWS GuardDuty サーバーへの接続に失敗しました。エラー: {0}」	全般

結果のタイプ

説明

種類

出力メッセージ *

成功した場合: 「指定された接続パラメータを使用して AWS GuardDuty サーバーに正常に接続されました。」

それ以外の場合: 「AWS に接続できませんでした。」成功した場合: 「指定された接続パラメータを使用して AWS GuardDuty サーバーに正常に接続されました。」

それ以外の場合: 「AWS GuardDuty サーバーへの接続に失敗しました。エラー: {0}」

全般

検出項目を作成する

単一の Amazon GuardDuty 検出機能を作成します。検出器は、GuardDuty サービスを表すリソースです。アカウントとリージョンごとに 1 つの検出器のみを設定できます。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
有効にする	チェックボックス	オフ	はい	検出機能を有効にするかどうかを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。成功した場合: 「検出器 <新しい検出器 ID> が作成されました。」検出器が作成されなかった場合（is_success=false）: 「アクションは検出器を作成できませんでした。理由: 現在のアカウントにはすでに検出器が存在します。「ErrorCode」が報告された場合（is_success=false）:「アクションは検出器を作成できませんでした。エラー: {}".format (ErrorMessage)" アクションが失敗し、Playbook の実行を停止します無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告される場合::「アクション「検出器の作成」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合: 「検出器 <新しい検出器 ID> が作成されました。」

検出器が作成されなかった場合（is_success=false）: 「アクションは検出器を作成できませんでした。理由: 現在のアカウントにはすでに検出器が存在します。

「ErrorCode」が報告された場合（is_success=false）:「アクションは検出器を作成できませんでした。エラー: {}".format (ErrorMessage)"

アクションが失敗し、Playbook の実行を停止します

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告される場合::「アクション「検出器の作成」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

検出項目を削除する

検出項目 ID で指定された Amazon GuardDuty 検出項目を削除します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	削除する検出項目の一意の ID。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。検出器が削除されなかった場合（is_success=false）: 「アクションは <detector_ID> 検出器を削除できませんでした。エラー: {}".format(ErrorMessage)" 検出器が正常に削除された場合（is_success=true）: 「検出器 <検出器 ID> が削除されました。」アクションが失敗し、Playbook の実行を停止します無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合: 「アクション「検出器の削除」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

検出器が削除されなかった場合（is_success=false）: 「アクションは <detector_ID> 検出器を削除できませんでした。エラー: {}".format(ErrorMessage)"

検出器が正常に削除された場合（is_success=true）: 「検出器 <検出器 ID> が削除されました。」

アクションが失敗し、Playbook の実行を停止します

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合: 「アクション「検出器の削除」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

検出器を更新する

検出項目の ID で指定された Amazon GuardDuty 検出項目を更新します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	更新する検出器の一意の ID。
有効にする	チェックボックス	オフ	いいえ	検出機能を有効にするかどうかを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションは検出器を作成できませんでした。エラー: {}".format(ErrorMessage)" 検出器が正常に更新された場合（is_success=true）: 「検出器 <検出器 ID> が更新されました。」アクションが失敗し、Playbook の実行を停止します無効な検出器 ID でも例外が発生し、ハンドブックが停止して is_success が false に設定されます。致命的なエラーや SDK エラー（認証情報の誤り、接続がないなど）が報告される場合: 「アクション「検出器の更新」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションは検出器を作成できませんでした。エラー: {}".format(ErrorMessage)"

検出器が正常に更新された場合（is_success=true）: 「検出器 <検出器 ID> が更新されました。」

アクションが失敗し、Playbook の実行を停止します

無効な検出器 ID でも例外が発生し、ハンドブックが停止して is_success が false に設定されます。

致命的なエラーや SDK エラー（認証情報の誤り、接続がないなど）が報告される場合: 「アクション「検出器の更新」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

検出器の詳細を取得する

検出器 ID で指定された Amazon GuardDuty 検出器を取得します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	取得する検出器の一意の ID。カンマ区切り値。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
   "DetectorId": "DETECTOR_ID",
   "CreatedAt": "response['CreatedAt']",
   "ServiceRole": "response['ServiceRole']",
   "Status": "response['Status']",
   "UpdatedAt": "response['UpdatedAt']",
}

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。成功した場合: 「<インジケーター ID> インジケーターに関する情報が正常に取得されました。」注: 検出器の ID が一部見つかり、一部見つからなかった場合は、関連する検出器 ID に基づいて両方のメッセージを表示します。アクションが失敗し、ハンドブックの実行が停止します。無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合: 「アクション「検出器の詳細を取得」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般
CSV テーブル	表のタイトル: 検出器の詳細テーブル列: 検出項目 ID ステータスサービスロール作成日時最終更新日時	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合: 「<インジケーター ID> インジケーターに関する情報が正常に取得されました。」

注: 検出器の ID が一部見つかり、一部見つからなかった場合は、関連する検出器 ID に基づいて両方のメッセージを表示します。

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合: 「アクション「検出器の詳細を取得」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

CSV テーブル

表のタイトル: 検出器の詳細

テーブル列:

検出項目 ID
ステータス
サービスロール
作成日時
最終更新日時

全般

検出項目の一覧表示

既存のすべての Amazon GuardDuty 検出機能リソースの detectorId を一覧表示します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
返される最大検出器数	Integer	50	いいえ	返される検出器の数を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "detectorIds": ["ID1,ID2"]
}

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。 200 ステータスコードが報告された場合（is_success=true）:「Amazon GuardDuty で利用可能な検出器が正常に一覧表示されました。Indicator ID:<value>" 他のステータスコードが報告された場合（is_success=false）:「アクションは利用可能な検出器を一覧表示できませんでした」アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "List Detectors". 理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

200 ステータスコードが報告された場合（is_success=true）:「Amazon GuardDuty で利用可能な検出器が正常に一覧表示されました。Indicator ID:<value>"

他のステータスコードが報告された場合（is_success=false）:「アクションは利用可能な検出器を一覧表示できませんでした」

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "List Detectors". 理由: {0}」.format(error.Stacktrace)

全般

検出に関する検出結果の一覧表示

指定された検出項目の ID の Amazon GuardDuty の検出結果をすべて一覧表示します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	取得する検出器の一意の ID。
返される最大検出結果数	Integer	50	いいえ	返される検出器の数を指定します。
並べ替え	文字列	なし	いいえ	検出結果の並べ替えに使用する検出結果属性（accountId など）を表します。
Order By	DDL	昇順値は次のいずれかです。昇順 DESC	いいえ	並べ替えられた結果を表示する順序。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{"FindingIds": ["10ba96ae50733ae38b9cae95431b7558"]}

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションは <detector ID> 検出器の検出結果を取得できませんでした。エラー: {}".format(ErrorMessage)" 成功した場合: 「検出器 {detector ID} の利用可能な検出結果 ID が正常に取得されました」アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: "Error executing action "List Findings for a Detector". 理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションは <detector ID> 検出器の検出結果を取得できませんでした。エラー: {}".format(ErrorMessage)"

成功した場合: 「検出器 {detector ID} の利用可能な検出結果 ID が正常に取得されました」

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: "Error executing action "List Findings for a Detector". 理由: {0}」.format(error.Stacktrace)

全般

検出をアーカイブする

検出結果 ID で指定された GuardDuty の検出結果をアーカイブします。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出結果 ID	文字列	なし	はい	取得する検出結果の ID。カンマ区切りの ID。
検出項目 ID	文字列	なし	はい	検出器の一意の ID
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

パラメータ名

種類

デフォルト値

必須

説明

検出結果 ID

文字列

なし

はい

取得する検出結果の ID。

カンマ区切りの ID。

検出項目 ID

文字列

なし

はい

検出器の一意の ID

AWS リージョン

文字列

なし

いいえ

必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

AWS IAM ポリシーの権限:

効果: 許可
アクション: guardduty:ArchiveFindings

検出結果をアーカイブできるのは、管理者アカウントのみです。メンバーアカウントには、アカウントから検出結果をアーカイブする権限がありません。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションは検出結果をアーカイブできませんでした。エラー: {}".format(ErrorMessage)。すべての検出結果 ID が正しいかどうかご確認ください。」成功した場合: 「検出結果が正常にアーカイブされました」→ 「次の検出結果が正常にアーカイブされました: <ids>」に変更されました 1 つまたはすべての無効な検出結果 ID がある場合、アクションは失敗しませんが、is_success は false に設定されます。「次の検出結果をアーカイブできませんでした: <ids>」注: エラーコードは ID のいずれかにすることはできません。検出 ID が間違っている場合は、「ArchiveFindings オペレーションの呼び出し時（最大再試行回数 4 回に達しました）: 内部サーバーエラー」というエラーで例外がスローされます。ここでも同様です:最初に検出結果が有効かどうかを確認します。次の検出結果をアーカイブしました: 88bac20f959084244a2b91778d12e883 次の検出結果をアーカイブできませんでした: 1abac689941ae6f3e3e24d02ac4cf612 アクションが失敗し、ハンドブックの実行が停止します。無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合:「アクション「検出結果のアーカイブ」の実行エラー。理由: {0}「.format(error.Stacktrace)」	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションは検出結果をアーカイブできませんでした。エラー: {}".format(ErrorMessage)。すべての検出結果 ID が正しいかどうかご確認ください。」

成功した場合: 「検出結果が正常にアーカイブされました」→ 「次の検出結果が正常にアーカイブされました: <ids>」に変更されました

1 つまたはすべての無効な検出結果 ID がある場合、アクションは失敗しませんが、is_success は false に設定されます。「次の検出結果をアーカイブできませんでした: <ids>」

注: エラーコードは ID のいずれかにすることはできません。検出 ID が間違っている場合は、「ArchiveFindings オペレーションの呼び出し時（最大再試行回数 4 回に達しました）: 内部サーバーエラー」というエラーで例外がスローされます。

ここでも同様です:最初に検出結果が有効かどうかを確認します。

次の検出結果をアーカイブしました: 88bac20f959084244a2b91778d12e883

次の検出結果をアーカイブできませんでした: 1abac689941ae6f3e3e24d02ac4cf612

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、接続なし、その他など、致命的なエラー、SDK エラーが報告された場合:「アクション「検出結果のアーカイブ」の実行エラー。理由: {0}「.format(error.Stacktrace)」

全般

検出結果のアーカイブを解除する

検出結果 ID で指定された GuardDuty の検出結果を抽出します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出結果 ID	文字列	なし	はい	取得する検出結果の ID。カンマ区切り値。
検出項目 ID	文字列	なし	はい	検出器の一意の ID。

AWS IAM ポリシーの権限:

効果: 許可
アクション: guardduty:UnarchiveFindings

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。成功した場合: 「次の検出結果が正常にアーカイブされました: <ids>」 1 つまたはすべての無効な検出結果 ID がある場合、アクションは失敗しませんが、is_success は false に設定されます。「次の検出結果のアーカイブを解除できませんでした: <ids> アクションが失敗し、ハンドブックの実行が停止します。無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: "Error executing action "Unarchive Findings". 理由: {0}「.format(error.Stacktrace)」注: エラーコードは ID のいずれかにすることはできません。検出 ID が間違っている場合は、「ArchiveFindings オペレーションの呼び出し時（最大再試行回数 4 回に達しました）: 内部サーバーエラー」というエラーで例外がスローされます。ここでも同様: 最初に検出結果が有効かどうかを確認します。次の検出結果をアーカイブしました: 88bac20f959084244a2b91778d12e883 次の検出結果をアーカイブできませんでした: 1abac689941ae6f3e3e24d02ac4cf612	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行が停止したりすることはありません。

成功した場合: 「次の検出結果が正常にアーカイブされました: <ids>」

1 つまたはすべての無効な検出結果 ID がある場合、アクションは失敗しませんが、is_success は false に設定されます。「次の検出結果のアーカイブを解除できませんでした: <ids>

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: "Error executing action "Unarchive Findings". 理由: {0}「.format(error.Stacktrace)」

ここでも同様: 最初に検出結果が有効かどうかを確認します。

次の検出結果をアーカイブしました: 88bac20f959084244a2b91778d12e883

次の検出結果をアーカイブできませんでした: 1abac689941ae6f3e3e24d02ac4cf612

全般

サンプル検出結果を作成する

検出結果のリストで指定されたタイプの検出結果の例を生成します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	サンプル検出結果を作成する検出器の一意の ID。
検出結果のタイプ	文字列	なし	いいえ	生成するサンプル検出結果のタイプ。カンマ区切り値。タイプは、UI の [検出結果] セクションの [検出結果の種類] 列で確認できます。

パラメータ名

種類

デフォルト値

必須

説明

検出項目 ID

文字列

なし

はい

サンプル検出結果を作成する検出器の一意の ID。

検出結果のタイプ

文字列

なし

いいえ

生成するサンプル検出結果のタイプ。カンマ区切り値。

タイプは、UI の [検出結果] セクションの [検出結果の種類] 列で確認できます。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションはサンプル検出結果を作成できませんでした。エラー: {}".format(ErrorMessage)" 成功した場合: 「サンプル検出結果が正常に作成されました」入力（検出結果のタイプ）のいずれかが無効な場合、次の例外をキャッチします。「入力パラメータとして無効な値または範囲外の値が指定されているため、リクエストは拒否されました。」が設定され、is_sucess=false: 「検出結果のタイプパラメータとして無効な値が見つかったため、アクションでサンプル検出結果を作成できませんでした。」更新: 無効な検出結果タイプの場合、アクションは失敗し、次のメッセージが表示されます。「Finding Types パラメータに無効な値が見つかったため、アクションでサンプル検出結果を作成できませんでした。エラー: <traceback> 無効な検出結果のタイプ + 無効な検出項目 → アクションは失敗し、is_success=false になる複数の検出結果 - 無効 + 無効 - アクションは失敗します。アクションが失敗し、ハンドブックの実行が停止します。無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、接続なしなど、致命的なエラー、SDK エラーが報告された場合: 「アクション「サンプル検出結果の作成」の実行エラー。理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションはサンプル検出結果を作成できませんでした。エラー: {}".format(ErrorMessage)"

成功した場合: 「サンプル検出結果が正常に作成されました」

入力（検出結果のタイプ）のいずれかが無効な場合、次の例外をキャッチします。「入力パラメータとして無効な値または範囲外の値が指定されているため、リクエストは拒否されました。」が設定され、is_sucess=false: 「検出結果のタイプパラメータとして無効な値が見つかったため、アクションでサンプル検出結果を作成できませんでした。」

更新: 無効な検出結果タイプの場合、アクションは失敗し、次のメッセージが表示されます。「Finding Types パラメータに無効な値が見つかったため、アクションでサンプル検出結果を作成できませんでした。エラー: <traceback>

無効な検出結果のタイプ + 無効な検出項目 → アクションは失敗し、is_success=false になる
複数の検出結果 - 無効 + 無効 - アクションは失敗します。

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、接続なしなど、致命的なエラー、SDK エラーが報告された場合: 「アクション「サンプル検出結果の作成」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

Update Findings Feedback

指定された Amazon GuardDuty の検出結果を「役に立った」または「役に立たなかった」とマークします。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	フィードバックを更新する検出結果に関連付けられている検出器の一意の ID。
役に立ちましたか？	チェックボックス	オフ	はい	検出結果のフィードバック。
検出結果 ID	文字列	なし	はい	有用または有用でないとマークする検出結果の ID。カンマ区切り値。
コメント	文字列	なし	いいえ	GuardDuty の検出結果に関する追加のフィードバック。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションは検出結果のフィードバックを更新できませんでした。エラー: {}".format(ErrorMessage) 成功した場合: 「検出結果のフィードバックが更新されました。」いずれかの検出結果 ID でエラーまたは「見つからない」が発生した場合、ID の 1 つが存在しないにもかかわらず、レスポンスオブジェクトは空のレスポンスを返します。検出結果が見つからない場合:「フィードバックを更新できません。<finding id> は無効です。」アクションが失敗し、Playbook の実行を停止します無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。認証情報が誤っているなどの致命的なエラーで、接続がない場合、その他の情報が報告されます: 「アクション「検出結果のフィードバックを更新」の実行エラー。理由: {0}「.format(error.Stacktrace)」	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションは検出結果のフィードバックを更新できませんでした。エラー: {}".format(ErrorMessage)

成功した場合: 「検出結果のフィードバックが更新されました。」

いずれかの検出結果 ID でエラーまたは「見つからない」が発生した場合、ID の 1 つが存在しないにもかかわらず、レスポンスオブジェクトは空のレスポンスを返します。

検出結果が見つからない場合:「フィードバックを更新できません。<finding id> は無効です。」

アクションが失敗し、Playbook の実行を停止します

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

認証情報が誤っているなどの致命的なエラーで、接続がない場合、その他の情報が報告されます: 「アクション「検出結果のフィードバックを更新」の実行エラー。理由: {0}「.format(error.Stacktrace)」

全般

信頼できる IP リストを削除する

ID で指定された IPSet を削除します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	IP セットの削除に使用する検出項目 ID を指定します。このパラメータは、[設定] タブで確認できます。
信頼できる IP リスト ID	文字列	なし	はい	IP セットの ID のカンマ区切りのリストを指定します。例: id_1,id_2

パラメータ名

種類

デフォルト値

必須

説明

検出項目 ID

文字列

なし

はい

IP セットの削除に使用する検出項目 ID を指定します。

このパラメータは、[設定] タブで確認できます。

信頼できる IP リスト ID

文字列

なし

はい

IP セットの ID のカンマ区切りのリストを指定します。

例: id_1,id_2

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。成功した場合（is_success=true）:「次の信頼できる IP リストを正常に削除しました: <ids>」一部の ID で成功しなかった場合（is_success=true）: 「Amazon GuardDuty から次の信頼できる IP リストを削除できませんでした:\n{0}.".format(list_of_ids)" アクションが失敗し、ハンドブックの実行が停止します。無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。間違った認証情報、サーバーへの接続なし、その他など、致命的なエラー、SDK エラーが報告された場合:「アクション「信頼できる IP リストの削除」の実行エラー。理由: {0}」.format(error.Stacktrace"	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

成功した場合（is_success=true）:「次の信頼できる IP リストを正常に削除しました: <ids>」

一部の ID で成功しなかった場合（is_success=true）: 「Amazon GuardDuty から次の信頼できる IP リストを削除できませんでした:\n{0}.".format(list_of_ids)"

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、サーバーへの接続なし、その他など、致命的なエラー、SDK エラーが報告された場合:「アクション「信頼できる IP リストの削除」の実行エラー。理由: {0}」.format(error.Stacktrace"

全般

検出結果の詳細を取得する

AWS Guard Duty の検出結果に関する詳細情報を返します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出結果 ID	文字列	なし	はい	取得する検出結果の ID。カンマ区切りの ID。
検出項目 ID	文字列	なし	はい	取得する検出器の一意の ID。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "Findings": [{
        "AccountId": "ACCOUNT_ID",
        "Arn": "arn:aws:guardduty:us-east-1:ACCOUNT_ID:detector/DETECTOR_ID/finding/FINDING_ID",
        "CreatedAt": "2020-10-06T05:19:50.794Z",
        "Description": "203.0.113.9 is performing RDP brute force attacks against i-INSTANCE_ID. Brute force attacks are used to gain unauthorized access to your instance by guessing the RDP password.", "Id": "ID",
        "Partition": "aws",
        "Region": "us-east-1",
        "Resource": {
            "InstanceDetails": {
                "AvailabilityZone": "us-east-1e",
                "ImageId": "ami-IMAGE_ID",
                "InstanceId": "i-INSTANCE_ID",
                "InstanceState": "running",
                "InstanceType": "t2.micro",
                "LaunchTime": "2020-05-27T08:54:03Z", "NetworkInterfaces": [{
                    "Ipv6Addresses": [],
                    "NetworkInterfaceId": "eni-012d9b8a1a3b4e40a",
                    "PrivateDnsName": "ip-192.0.2.1.ec2.internal",
                    "PrivateIpAddress": "192.0.2.1",
                    "PrivateIpAddresses": [{
                        "PrivateDnsName": "ip-192.0.2.1.ec2.internal",
                        "PrivateIpAddress": "192.0.2.1"
                    }],
                    "PublicDnsName": "ec2-54-234-69-236.compute-1.amazonaws.com",
                    "PublicIp": "198.51.100.236",
                    "SecurityGroups": [{
                        "GroupId": "sg-0fa42e04e9cd15407",
                        "GroupName": "Windows Server 2016"
                    }],
                    "SubnetId": "subnet-2edddf10",
                    "VpcId": "vpc-48a7ac32"
                }],
                "Platform": "windows",
                "ProductCodes": [],
                "Tags": [{
                    "Key": "Name",
                    "Value": "CiscoAMP-win2012"
                }]},
            "ResourceType": "Instance"
        },
        "SchemaVersion": "2.0",
        "Service": {
            "Action": {
                "ActionType": "NETWORK_CONNECTION", "NetworkConnectionAction": {
                    "Blocked": false,
                    "ConnectionDirection": "INBOUND",
                    "LocalPortDetails": {
                        "Port": 3389, "PortName": "RDP"
                    },
                    "Protocol": "TCP",
                    "LocalIpDetails": {
                        "IpAddressV4": "192.0.2.1"
                    },
                    "RemoteIpDetails": {
                        "IpAddressV4": "203.0.113.9",
                        "Organization": {
                            "Asn": "24875",
                            "AsnOrg": "Example Inc.",
                            "Isp": "Example Inc.",
                            "Org": "Example Inc."
                        }},
                    "RemotePortDetails": {
                            "Port": 1549,
                        "PortName": "Unknown"
                    }}},
            "Archived": false,
            "Count": 5,
            "DetectorId": "DETECTOR_ID",
            "EventFirstSeen": "2020-10-06T05:10:58Z",
            "EventLastSeen": "2020-10-06T05:46:59Z",
            "ResourceRole": "TARGET",
            "ServiceName": "guardduty"
        },
        "Severity": 2,
        "Title": "203.0.113.9 is performing RDP brute force attacks against i-INSTANCE_ID.",
        "Type": "UnauthorizedAccess:EC2/RDPBruteForce",
        "UpdatedAt": "2020-10-06T06:01:46.380Z"
    }]
}

ケースウォール

結果のタイプ説明種類

出力メッセージ *

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。「ErrorCode」が報告された場合（is_success=false）:「アクションで検出結果の詳細を取得できませんでした。エラー: {}".format(ErrorMessage)" 成功した場合: 「次の検出結果 <取得された検出結果 ID> の情報が正常に取得されました」 ID のいずれかでエラーが報告された場合、レスポンスオブジェクトには有効な ID の結果のみが含まれます。レスポンスオブジェクトに ID が含まれていないかどうかを確認し、適切なメッセージを出力します。 `E.g. data = ['4cba8180b5959ae56a3be24cc722aaaa', '6eba7eae0e24ffe28a4109f2594febff', '24ba6761dc4cf85cfc292bbadd1c2655']` `The first ID does not exist, therefore I will not get a result for that one. Output message:` `"Successfully retrieved information for the following findings: 6eba7eae0e24ffe28a4109f2594febff,24ba6761dc4cf85cfc292bbadd1c2655. Failed to retrieve information for the following findings: 4cba8180b5959ae56a3be24cc722aaaa` アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: 「アクション「検出結果の取得」の実行エラー。理由: {0}「.format(error.Stacktrace)」	全般
Case Wall テーブル	注: 存在する場合。テーブル列: 知見 ID タイトル説明タイプ重大度カウントリソース ID 作成日時最終更新日時アカウント ID	全般

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

「ErrorCode」が報告された場合（is_success=false）:「アクションで検出結果の詳細を取得できませんでした。エラー: {}".format(ErrorMessage)"

成功した場合: 「次の検出結果 <取得された検出結果 ID> の情報が正常に取得されました」

ID のいずれかでエラーが報告された場合、レスポンスオブジェクトには有効な ID の結果のみが含まれます。レスポンスオブジェクトに ID が含まれていないかどうかを確認し、適切なメッセージを出力します。

E.g. data = ['4cba8180b5959ae56a3be24cc722aaaa', '6eba7eae0e24ffe28a4109f2594febff', '24ba6761dc4cf85cfc292bbadd1c2655']

The first ID does not exist, therefore I will not get a result for that one. Output message:

"Successfully retrieved information for the following findings: 6eba7eae0e24ffe28a4109f2594febff,24ba6761dc4cf85cfc292bbadd1c2655. Failed to retrieve information for the following findings: 4cba8180b5959ae56a3be24cc722aaaa

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、接続がないなど）が報告される場合: 「アクション「検出結果の取得」の実行エラー。理由: {0}「.format(error.Stacktrace)」

全般

Case Wall テーブル

注: 存在する場合。

テーブル列:

知見 ID
タイトル
説明
タイプ
重大度
カウント
リソース ID
作成日時
最終更新日時
アカウント ID

全般

すべての信頼できる IP リストを取得する

説明

検出器 ID で指定された GuardDuty サービスの信頼できる IP リスト（IPSet）をすべて取得します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	IP セットのリストに使用する検出器 ID を指定します。このパラメータは [設定] タブにあります。
返される信頼できる IP リストの最大数	Integer	50	いいえ	返す信頼できる IP リストの数を指定します。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

パラメータ名

種類

デフォルト値

必須

説明

検出項目 ID

文字列

なし

はい

IP セットのリストに使用する検出器 ID を指定します。

このパラメータは [設定] タブにあります。

返される信頼できる IP リストの最大数

Integer

いいえ

返す信頼できる IP リストの数を指定します。

AWS リージョン

文字列

なし

いいえ

必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "IpSetIds": ['', '' , '']
}

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。使用可能なセットが正常に一覧表示された場合（is_success=true）:「使用可能な信頼できる IP リストが正常に取得されました。」アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "Get all Trusted IP Lists". 理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

使用可能なセットが正常に一覧表示された場合（is_success=true）:「使用可能な信頼できる IP リストが正常に取得されました。」

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "Get all Trusted IP Lists". 理由: {0}」.format(error.Stacktrace)

全般

信頼できる IP リストを取得する

説明

Amazon GuardDuty の信頼できる IP リストの詳細を取得します。

パラメータ

パラメータ名種類デフォルト値必須説明

検出項目 ID

文字列

なし

はい

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	IP セットの取得に使用する検出器 ID を指定します。このパラメータは [設定] タブにあります。
信頼できる IP リスト ID	CSV	なし	はい	IP セットの ID のカンマ区切りリスト（`id_1,id_2` など）を指定します。

IP セットの取得に使用する検出器 ID を指定します。

このパラメータは [設定] タブにあります。

信頼できる IP リスト ID

CSV

なし

はい

IP セットの ID のカンマ区切りリスト（id_1,id_2 など）を指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "ip_set_id": {
        "Format": "response['Format']",
        "Location": "response['Location']",
        "Name": "response['Name']",
        "Status": "response['Status']"
        }
}

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。詳細が正常に返された場合（is_success=true）:「Amazon GuardDuty から次の信頼できる IP リストの詳細が正常に取得されました:\n{0}.".format(list_of_ids)" 一部の ID で成功しなかった場合（is_success=true）: 「Amazon GuardDuty から次の信頼できる IP リストの詳細を取得できませんでした:\n{0}。".format(list_of_ids) ID が使用されていない場合（is_success=false）: 「指定された信頼できる IP リストに関する詳細は取得されませんでした」.format(list_of_ids) アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "List Trusted IP Lists". 理由: {0}」.format(error.Stacktrace)	一般
CSV	テーブル名: Trusted IP Lists Details テーブル列: 名前（Name としてマッピング）信頼できる IP リスト ID（アクションパラメータから）場所（Location としてマッピング）ステータス（Status としてマッピング）	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

詳細が正常に返された場合（is_success=true）:「Amazon GuardDuty から次の信頼できる IP リストの詳細が正常に取得されました:\n{0}.".format(list_of_ids)"

一部の ID で成功しなかった場合（is_success=true）: 「Amazon GuardDuty から次の信頼できる IP リストの詳細を取得できませんでした:\n{0}。".format(list_of_ids)

ID が使用されていない場合（is_success=false）: 「指定された信頼できる IP リストに関する詳細は取得されませんでした」.format(list_of_ids)

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "List Trusted IP Lists". 理由: {0}」.format(error.Stacktrace)

一般

CSV

テーブル名: Trusted IP Lists Details

テーブル列:

名前（Name としてマッピング）
信頼できる IP リスト ID（アクションパラメータから）
場所（Location としてマッピング）
ステータス（Status としてマッピング）

全般

信頼できる IP リストを更新する

説明

Amazon GuardDuty で信頼できる IP リストを更新します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	信頼できる IP リストの更新に使用する検出器 ID を指定します。このパラメータは [設定] タブにあります。
信頼できる IP リスト ID	文字列	なし	はい	更新する信頼できる IP リストの ID を指定します。
名前	文字列	なし	いいえ	信頼できる IP リストの新しい名前を指定します。
ファイルのロケーション	文字列	`https://s3.amazonaws.com/{bucket-name}/file.txt`	いいえ	ファイルの新しい URI の場所を指定します。
有効化	チェックボックス	オン	はい	有効にすると、信頼できる IP リストが有効になります。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

N/A

ケースウォール

結果のタイプ	説明	種類
出力メッセージ *	アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。 1 つのセットが正常に更新された場合（is_success=true）: 「Amazon GuardDuty で信頼できる IP リスト「{0}」が正常に更新されました。」.format(脅威 ID) 1 つのセットの更新に失敗した場合（is_success=false）:「Amazon GuardDuty で信頼できる IP リスト「{0}」を更新できませんでした。」.format(Threat ID) アクションが失敗し、ハンドブックの実行が停止します。致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "Update Trusted IP list". 理由: {0}」.format(error.Stacktrace)	全般

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

1 つのセットが正常に更新された場合（is_success=true）: 「Amazon GuardDuty で信頼できる IP リスト「{0}」が正常に更新されました。」.format(脅威 ID)

1 つのセットの更新に失敗した場合（is_success=false）:「Amazon GuardDuty で信頼できる IP リスト「{0}」を更新できませんでした。」.format(Threat ID)

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "Update Trusted IP list". 理由: {0}」.format(error.Stacktrace)

全般

信頼できる IP リストを作成する

AWS インフラストラクチャとアプリケーションとの安全な通信のために、動的リストにあった信頼できる IP アドレス（IPSet）の新しいリストを作成します。

GuardDuty は、IPSet に含まれる IP アドレスの検出結果を生成しません。このオペレーションを使用できるのは、管理者アカウントのユーザーのみです。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	信頼できる IP リストの作成に使用する検出項目の ID を指定します。このパラメータは、[設定] タブで確認できます。
名前	文字列	なし	はい	信頼できる IP リストの名前を指定します。
ファイル形式	DDL	プレーンテキスト	はい	信頼できる IP リストの作成に使用するファイルの形式を選択します。値は次のいずれかです。プレーンテキストの Structured Threat Information Expression（STIX） Open Threat Exchange（OTX）CSV FireEye iSIGHT Threat Intelligence CSV Proofpoint ET Intelligence Feed CSV AlienVault レピュテーションフィード
ファイルのロケーション	文字列	`https://s3.amazonaws.com/{bucket-name}/file.txt`	はい	ファイルの場所の URI を指定します
有効化	チェックボックス	オン	はい	有効にすると、新しく作成された信頼できる IP リストが有効になります。
AWS リージョン	文字列	なし	いいえ	必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "TrustedIPID": "TRUSTED_IP_ID"
}

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

セットが正常に作成された場合（is_success=true）: 「Amazon GuardDuty で新しい信頼できる IP リスト「{0}」が正常に作成されました。」.format(Name)

セットの作成に失敗した場合（is_success=false）: 「アクションは Amazon GuardDuty で新しい信頼できる IP リスト「{0}」を作成できませんでした。」.format(name)

アクションが失敗し、ハンドブックの実行が停止します。

間違った認証情報、サーバーへの接続なし、その他など、致命的なエラー、SDK エラーが報告された場合: 「アクション「信頼できる IP リストの作成」の実行エラー。理由: {0}「.format(error.Stacktrace)」

全般

脅威インテリジェンスセットを一覧表示する

Amazon GuardDuty で使用可能な脅威インテリジェンスセットを一覧表示します。

パラメータ

パラメータ名

種類

デフォルト値

必須

説明

検出項目 ID

文字列

なし

はい

脅威インテリジェンスセットのリストに使用する検出器 ID を指定します。

このパラメータは [設定] タブにあります。

返す脅威インテリジェンスセットの最大数

Integer

いいえ

返される脅威インテリジェンスセットの数を指定します。

AWS リージョン

文字列

なし

いいえ

必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "ThreatIntelSetIds": ["14ba8b942b76c1be6d985715eb7443eb",
                       "32ba8b92e553fe04d06dab543ed57a70",
                       "8aba8b93ba6e08e8fd5349b2c2b57709"
                       ]
}

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

使用可能なセットが正常に一覧表示された場合（is_success=true）: 「使用可能な Threat Intelligence セットが正常に一覧表示されました。」

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラー、SDK エラー（認証情報が間違っている、サーバーへの接続がないなど）が報告される場合: "Error executing action "List Threat Intelligence Sets". 理由: {0}」.format(error.Stacktrace)

全般

脅威インテリジェンスセットの詳細を取得する

Amazon GuardDuty の脅威インテリジェンスセットの詳細を取得します。

パラメータ

パラメータ名

種類

デフォルト値

必須

説明

検出項目 ID

文字列

なし

はい

脅威インテリジェンスセットの詳細を取得するために使用する検出器 ID を指定します。

このパラメータは [設定] タブにあります。

脅威インテリジェンスセット ID

文字列

はい

脅威インテリジェンスセットの ID のカンマ区切りのリストを指定します。

例: id_1,id_2

AWS リージョン

文字列

なし

いいえ

必要に応じて、統合構成ページで指定されたデフォルトのリージョンとは異なる、アクションで使用する AWS リージョンを指定します。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "Format": "TXT",
    "Location": "https: //example.s3.amazonaws.com/test.txt",
    "Name": "API Test",
    "ResponseMetadata": {
        "HTTPHeaders": {
            "connection": "keep-alive",
            "content-length": "149",
            "content-type": "application/json",
            "date": "Mon,19 Oct 2020 06: 23: 22 GMT",
            "x-amz-apigw-id": "ID",
            "x-amzn-requestid": "REQUEST_ID",
            "x-amzn-trace-id": "TRACE_ID"
        },
        "HTTPStatusCode": 200,
        "RequestId": "REQUEST_ID",
        "RetryAttempts": 0
    },
    "Status": "ERROR",
    "Tags": {}
}

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

少なくとも 1 つのセットの詳細が正常に返された場合（is_success=true）: 「Amazon GuardDuty から次の Threat Intelligence セットの詳細が正常に取得されました:\n{0}.".format(list_of_ids)"

一部の ID で失敗した場合（is_success=true）: 「Amazon GuardDuty から次の脅威インテリジェンスセットの詳細を取得できませんでした:\n{0}。".format(list_of_ids)"

ID が使用されていない場合: 「指定された Threat Intelligence セットに関する詳細は取得されませんでした。」.format(list_of_ids)

アクションが失敗し、ハンドブックの実行が停止します。

一般

CSV

テーブル名: Threat Intelligence Set Details

テーブル列:

名前（Name としてマッピング）
ID（アクションパラメータから）
場所（Location としてマッピング）
ステータス（Status としてマッピング）

Threat Intelligence セットを作成する

Amazon GuardDuty で脅威インテリジェンスセットを作成します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	脅威インテリジェンスセットの作成に使用する検出器 ID を指定します。このパラメータは [設定] タブにあります。
名前	文字列	なし	はい	脅威インテリジェンスセットの名前を指定します。
ファイル形式	DDL	プレーンテキスト値は次のいずれかです。プレーンテキスト Structured Threat Information Expression（STIX） Open Threat Exchange（OTX）CSV FireEye iSIGHT Threat Intelligence CSV Proofpoint ET Intelligence Feed CSV AlienVault レピュテーションフィード	はい	脅威インテリジェンスセットの作成に使用するファイルの形式を選択します。
ファイルのロケーション	文字列	`https://s3.amazonaws.com/{bucket-name}/file.txt`	はい	ファイルの場所の URI を指定します。
有効	チェックボックス	オン	はい	有効にすると、新しく作成された脅威インテリジェンスセットが有効になります。
タグ	CSV	なし	いいえ	Threat Intelligence セットに追加する追加のタグを指定します。形式: key_1:value_1,key_2:value_1

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

JSON の結果

{
    "ThreatIntelSetId": "b6f0c884a54449cc8e29eed3094e9c31"
}

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

セットが正常に作成された場合（is_success=true）:「Amazon GuardDuty で脅威インテリジェンスセット「{0}」が正常に作成されました。」.format(Name)

セットの作成に失敗した場合（is_success=false）:「アクションは Amazon GuardDuty で脅威インテリジェンスセット「{0}」を作成できませんでした。」.format（name）

アクションが失敗し、ハンドブックの実行が停止します。

間違った認証情報、サーバーへの接続なし、その他など、致命的なエラー、SDK エラーが報告された場合:「アクション「脅威インテリジェンスセットの作成」の実行エラー。理由: {0}」.format(error.Stacktrace)

全般

Threat Intelligence セットを更新する

Amazon GuardDuty で脅威インテリジェンスセットを更新します。

パラメータ

パラメータ名	種類	デフォルト値	必須	説明
検出項目 ID	文字列	なし	はい	脅威インテリジェンスセットの更新に使用する検出器 ID を指定します。このパラメータは、[設定] タブで確認できます。
ID	文字列	なし	はい	更新する Threat Intelligence セットの ID を指定します。
名前	文字列	なし	いいえ	Threat Intelligence セットの新しい名前を指定します。
ファイルのロケーション	文字列	`https://s3.amazonaws.com/{bucket-name}/file.txt`	いいえ	ファイルの新しい URI の場所を指定します。
有効	チェックボックス	オン	はい	有効にすると、脅威インテリジェンスセットが有効になります。

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

1 つのセットが正常に更新された場合（is_success=true）: 「Amazon GuardDuty で脅威インテリジェンスセット「{0}」が正常に更新されました。」.format(Threat ID)

セットの更新に失敗した場合（is_success=false）:「Amazon GuardDuty で脅威インテリジェンスセット「{0}」を更新できませんでした。」.format（脅威 ID）

アクションが失敗し、ハンドブックの実行が停止します。

致命的なエラーや SDK エラー（認証情報の誤り、サーバーへの接続がないなど）が報告される場合: "Error executing action "Update Threat Intelligence Set". 理由: {0}」.format(error.Stacktrace)

全般

Threat Intelligence セットを削除する

Amazon GuardDuty で脅威インテリジェンスセットを削除します。

パラメータ

パラメータ名

種類

デフォルト値

ウォーターマーク

必須

説明

検出項目 ID

文字列

なし

該当なし

はい

脅威インテリジェンスセットの詳細を取得するために使用する検出器 ID を指定します。

このパラメータは [設定] タブにあります。

脅威インテリジェンスセット ID

CSV

なし

該当なし

はい

脅威インテリジェンスセットの ID のカンマ区切りのリストを指定します。

例: id_1,id_2

実行

このアクションはエンティティに対しては実行されません。

アクションの結果

スクリプトの結果

スクリプトの結果名	値のオプション	例
is_success	正誤問題	is_success=False

ケースウォール

結果のタイプ

説明

種類

出力メッセージ *

アクションが失敗したり、ハンドブックの実行を停止したりすることはありません。

少なくとも 1 つのセットの詳細が正常に返された場合（is_success=true）: 「Amazon GuardDuty で次の Threat Intelligence セットが正常に削除されました:\n{0}.".format(list_of_ids)

一部の ID で失敗した場合（is_success=true）: 「Amazon GuardDuty で次の脅威インテリジェンスセットを削除できませんでした:\n{0}。".format(list_of_ids)

ID が使用されていない場合: 「脅威インテリジェンスセットは削除されませんでした。」.format(list_of_ids)

アクションが失敗し、ハンドブックの実行が停止します。

無効な検出器 ID も例外を発生させ、Playbook を停止して is_success を false に設定する必要があります。

間違った認証情報、サーバーへの接続なし、その他など、致命的なエラー、SDK エラーの場合:「アクション「脅威インテリジェンスセットの削除」の実行エラー。理由: {0}」.format(error.Stacktrace)

一般

コネクタ

Google SecOps でコネクタを構成する方法について詳しくは、データを取り込む（コネクタ）をご覧ください。

AWS GuardDuty - 検出結果コネクタ

Amazon GuardDuty から検出結果を取得します。

コネクタの入力

次のパラメータを使用してコネクタを構成します。

パラメータ名	種類	デフォルト値	必須	説明
プロダクトフィールド名	文字列	プロダクト名	はい	商品名が保存されるフィールドの名前。商品名は主にマッピングに影響します。コネクタのマッピングプロセスを合理化して改善するため、デフォルト値はコードから参照されるフォールバック値に解決されます。このパラメータの無効な入力は、デフォルトでフォールバック値に解決されます。デフォルト値は `Product Name` です。
イベントフィールド名	文字列	タイプ	はい	イベント名（サブタイプ）を特定するフィールドの名前。
環境フィールド名	文字列	""	いいえ	環境名が保存されるフィールドの名前。環境フィールドがない場合、コネクタはデフォルト値を使用します。
`Environment Regex Pattern`	文字列	.*	いいえ	`Environment Field Name` フィールドで見つかった値に対して実行する正規表現パターン。このパラメータを使用すると、正規表現ロジックを使用して環境フィールドを操作できます。デフォルト値 `.*` を使用して、必要な未加工の `Environment Field Name` 値を取得します。正規表現パターンが null か空の場合、または環境値が null の場合、最終的な環境の結果はデフォルト環境になります。
スクリプトのタイムアウト（秒）	整数	180	はい	現在のスクリプトを実行する Python プロセスのタイムアウト上限（秒単位）。
AWS アクセスキー ID	文字列	なし	○	統合で使用する AWS アクセスキー ID。
AWS シークレットキー	パスワード	なし	○	統合で使用する AWS 秘密鍵。
AWS のデフォルトリージョン	文字列	なし	はい	統合で使用する AWS のデフォルトリージョン。例: us-west-2
検出項目 ID	文字列	なし	はい	検出器の ID。[設定] タブで確認できます。
取得する最も低い重大度	Integer	1	はい	取得するアラートの最も低い重大度。このパラメータを構成しない場合、コネクタはすべての重大度レベルのアラートを取り込みます。有効な値の範囲は `1`～`8` です。注: Amazon GuardDuty は、次の順序で整数値をマッピングします。 `1,2,3` - 低 `4,5,6` - 中 `7,8` - 高
遡る取得の最大時間数	整数	1	いいえ	検出結果を取得する現在までの時間数。このパラメータは、コネクタを初めて有効にした後の最初のコネクタイテレーション、または期限切れのコネクタタイムスタンプのフォールバック値に適用できます。
取得する最大検出結果数	整数	50	いいえ	1 回のコネクタのイテレーションで処理する検出結果の数。最大: 50 これは GuardDuty の制限です。
`Use whitelist as a blacklist`	チェックボックス	オフ	はい	選択すると、コネクタは動的リストを拒否リストとして使用します。
プロキシサーバーのアドレス	文字列	なし	いいえ	使用するプロキシサーバーのアドレス。
プロキシのユーザー名	文字列	なし	いいえ	認証に使用するプロキシのユーザー名。
プロキシパスワード	パスワード	なし	いいえ	認証に使用するプロキシパスワード。

コネクタルール

コネクタはプロキシをサポートしています。

さらにサポートが必要な場合 コミュニティメンバーや Google SecOps のプロフェッショナルから回答を得ることができます。