GuardDutyで1件だけ検出結果サンプルを発行する

GuardDutyを有効にして通知の設定をすると、その通知が正しく動くか確認するために検出結果サンプルを発行したくなる。

AWSのWebコンソール画面のGuardDutyの設定画面から検出結果サンプルを発行できる。 しかしさまざまなパターンのサンプルを生成するため、大量のサンプルが発行され、不必要に通知が送られてしまう。

本記事ではAWS CLIを使って1件だけ検出結果サンプルを作成する方法を書く。

GuardDutyに1件だけ検出結果サンプルを生成するコマンド

検出結果サンプルを1件だけ作りたい場合はaws guardduty create-sample-findingsコマンドを使用する。

GuardDutyで1件だけ検出結果サンプルを発行するためのコマンド形式は以下のようになる。

$ aws guardduty create-sample-findings --detector-id <detector_id> --finding-types <finding_type>

<detector_id>はGuardDutyのDetector IDを入力する。Detector IDはGuardDutyのWebコンソールで確認できる。

<finding_type>はサンプルを作成する検出結果タイプを指定する。検出結果タイプについては以下から探せる。
≫ 検出結果タイプ

検出結果サンプルの生成例

コマンドの実行例を示す。

$ aws guardduty create-sample-findings \
  --detector-id xxxxxxxxxxxxxxxxxxxxxxx \
  --finding-types "Backdoor:EC2/C&CActivity.B"

上記コマンドにより以下のように検出結果サンプルが積まれる。

多くてもいいからWebコンソールから検出結果サンプルを作りたい場合

GuardDutyのWebコンソールから検出結果サンプルを作成する場合は まず左側のナビゲーションバーから「設定」を選択する。

設定画面を開いたら「検出結果サンプルを作成」をクリックします。

成功すると以下のように100件以上のサンプルが積まれる。