コンテンツにスキップ

Amazon GuardDutyインテグレーションガイド🔗

Secureworks® Taegis™ XDR とAmazon GuardDutyのインテグレーションは、Amazon GuardDuty API経由でのみ利用できます。Cloudwatch Events および/または S3 経由のインテグレーションは現在サポートされていません。さらに、インテグレーション用にリンクできるAWSアカウントは1つのみです。Amazon GuardDuty Master Accountアーキテクチャを使用している場合（AWSのドキュメント: https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_accounts.html）、以下の手順ではAmazon GuardDutyマスターアカウントのAccount IDを使用してください。AWS Organizationsを使用している場合、Amazon GuardDutyアカウントはAWS Organizationsのマスターアカウントとは異なる場合があります。

Amazon GuardDutyデータを XDR と連携するには、XDR に読み取り専用アクセスを付与するAWS Identity and Access Management（IAM）ロールを手動で作成し、このロールとAWSアカウントIDを XDR に入力する必要があります。

Taegis IPアドレス範囲🔗

このインテグレーション用に既存のファイアウォールまたはAPIゲートウェイのIP許可リストを設定している場合、または設定を予定している場合は、お客様のTaegisリージョンに対応する以下のXDR IPアドレス範囲を追加してください。

Taegis Region IP Address Range
Charlie 216.9.204.0/24
Delta 216.9.204.0/24
Echo 216.9.205.0/24
Foxtrot 216.9.206.0/24
Golf 216.9.207.0/24
Hotel 208.89.40.0/24
India 208.89.42.0/24
Juliet 208.89.41.0/24
Kilo 208.89.43.0/24
Quebec 208.89.44.0/24

注意

これらは、XDRインテグレーションに必要な唯一のIP範囲です。以前に古いIPアドレスを設定していた場合は、30日後にそれらを削除することを推奨します。

インテグレーションから提供されるデータ🔗

正規化されたデータ 汎用的な検知 ベンダー固有の検知
Amazon GuardDuty     Thirdparty

注意

XDR検知機は、データソースのログが特定の検知機に関連付けられたスキーマへ正規化されていても、必ずしもトリガーされるとは限りません。ただし、カスタム検出ルールを作成することで、データソースから正規化されたデータに基づいて検知を生成することができます。

Amazon GuardDutyのセットアップ🔗

開始するには、次の手順に従います。

ヒント

作業中は、AWS Consoleで別々のブラウザータブを開いておくと便利です。1つは作成したポリシーを見つけられるようにポリシーを表示し、もう1つは作成するロール用に開いておきます。

  1. Taegis Menu から、Integrations → Cloud APIs を選択します。

  2. ページ上部から Add an Integration を選択します。

    インテグレーションの追加

  3. Optimizedタブから AWS を選択し、Amazon GuardDutyの下にある Setup を選択します。

    GuardDutyインテグレーションの追加

  4. 次の詳細を入力します。

    • 接続を識別する名前
    • Amazon Account ID
    • 組織に固有のExternal ID。これは自動的に入力されます。
    • Amazon IAM Role。これを生成するには残りの手順に従ってください。

    GuardDutyインテグレーションのセットアップ

  5. IAM Console に移動し、インテグレーションを設定するアカウントにログインしていることを確認します。Create policy をクリックします。

  6. JSON ボタンをクリックし、次のポリシーをフォームにコピーして貼り付けます。

    {
  "Version": "2012-10-17",
  "Statement": [
    {
      "Action": [
        "guardduty:ListDetectors",
        "guardduty:GetDetector",
        "guardduty:ListFindings",
        "guardduty:GetFindings",
        "guardduty:GetMasterAccount"
      ],
      "Effect": "Allow",
      "Resource": "*"
    }
  ]
}

    注意

    これらの正確な権限を持つAWSロールを作成し、その後 XDR のAWS GuardDutyインテグレーションが正しく機能することを確認することを推奨します。

    このポリシーは、Amazon GuardDutyデータに対する XDR への読み取り専用アクセスを付与します。読み取り専用IAMロールの詳細については、Managing Access to Amazon GuardDuty User Guide を参照してください。

  7. Next をクリックします。

  8. SecureworksAWSGuardDutyIntegrationPolicy などの説明的な名前をポリシーに入力し、必要に応じて説明を入力します。Create Policy をクリックします。

  9. IAM Console で、インテグレーションを設定するアカウントにログインしていることを確認し、Create role をクリックします。

  10. 信頼されたエンティティのタイプとして AWS account を選択します。

    信頼されたエンティティの選択

  11. Another AWS account を選択し、次のSecureworks Account ID を入力します: 927866642148。

    Account IDの入力

  12. Require external ID オプションを有効にし、手順4で XDR に表示されたExternal IDを入力します。

    Account IDとExternal IDの入力

  13. Require MFA オプションは無効のままにして、Next をクリックします。

  14. 手順8で作成したPolicyの名前を選択し、Next をクリックします。

  15. SecureworksAWSGuardDutyIntegrationRole などの説明的な名前をロールに入力し、必要に応じて説明を入力します。必要に応じて任意のタグを追加し、Create role をクリックします。

    注意

    次の手順で使用するため、Role名をコピーしてください。

  16. XDR のSet Upページに戻り、手順15で作成したIAM Role名を入力します。

    IAM Roleの入力

  17. Save を選択してインテグレーションを完了します。

  18. Cloud APIs でインテグレーションのステータスを表示します。

    インテグレーションのステータスと詳細の表示