このオプションを使用することで、特定の検出結果をフィルタリングし、検出結果の取り込みの負荷を軽減できます。

[API フィルター] フィールドに、条件に基づいて特定の結果を除外する JSON 条件を要件に従って入力します。たとえば、Security Hub で [ワークフローステータス] が [Resolved (解決済み)] である検出結果を除外するには、次の値を入力します。

{"Filters"{
  "WorkflowStatus":[{
  "Comparison":"NOT_EQUALS",
  "Value": "RESOLVED"}]
 }
}

指定された条件に基づいて、AWS Security Hub 結果が取り込まれ、 AWS Security Hub 結果の生テーブルに表示されます。

移動先 すべて > AWS Security Hub 検索結果の統合 > AWS Security Hub 生の検索 生の検出結果データを表示します。

[すべての検出結果フィールド (All finding fields)] リストから、[セキュリティインシデント生成条件] セクションに表示する検出結果フィールドを選択します。

[フィルター条件] の最初のフィールドには、AWS Security Hub 検出結果で使用できる 200 のフィールドのデフォルトリストと、[フィルター条件の検出結果フィールドを選択 (Select Finding fields for filter conditions)] セクションで選択した検出結果フィールドが含まれています。

[フィルター条件] の 2 番目のフィールドには、条件演算子が入っています。選択したオプションによって、検出結果を取り込むために満たす必要のある条件が決まります。

[フィルター条件] の 3 番目のフィールドには、使用可能な検出結果フィールドでサポートされている値が入っています。入力した検出結果フィールドが検出結果の値と一致することを確認します。

たとえば、複数の値を持つ次のフィールドに対して、[次の値を含む (contains)] というフィルター条件を使用します。

• ワークフロー (ステータス)
• WorkflowState

• [AND] を選択した場合は、すべての条件に一致する必要があります。
• [OR] を選択した場合は、一致すべき条件がいずれか 1 つになります。

集計基準が満たされ、この受信インシデントを既存のセキュリティインシデントに追加できるように、複数選択入力フィールドで選択したすべてのフィールド値が一致する必要があります。この選択は、複数のフィールド値を持つ可能性がある [観測事象] や [構成アイテム] などのフィールドがマッピングされる AND 条件を意味します。値のサブセットのみが一致した場合、AWS Security Hub 検出結果の集計条件は満たされず、新しいセキュリティインシデントが作成されます。

定義した複数選択フィールド条件のいずれかが満たされると、集計が行われます。この選択は OR 条件を意味します。

作業メモには、検出結果の詳細へのリンクを含め、新しい検出結果が追加されたことが記録されます。作業メモの記録では、マッピングセクションの作業メモフィールドに追加した詳細も更新されます。