このオプションを使用すると、特定の検索結果をフィルタリングし、検索結果の取り込みの負荷を軽減できます。

[ API フィルター ] フィールドに、要件に従って JSON 条件を入力し、条件に基づいて特定の検出結果を除外します。たとえば、次の値を入力して、Security Hub でワークフローステータスが解決済みである検索結果を除外します。

{"Filters"{
  "WorkflowStatus":[{
  "Comparison":"NOT_EQUALS",
  "Value": "RESOLVED"}]
 }
}

指定された条件に基づいて、 AWS Security Hub 検出結果が取り込まれ、 AWS Security Hub 検出結果の生テーブルに表示されます。

次のように移動する。 All (すべて) > AWS Security Hub 検索結果の統合 > AWS Security Hub 生の検索 をクリックして生の検出結果データを表示します。

[すべての検索結果フィールド] リストから、[セキュリティインシデント生成条件] セクションに表示する検索結果フィールドを選択します。

[フィルター条件] の最初のフィールドには、 AWS Security Hub 検索で使用可能な 200 フィールドのデフォルトリストと、[フィルター条件の検索フィールドを選択] セクションで選択した検索結果フィールドが含まれています。

フィルター条件の 2 番目のフィールドには、条件演算子が含まれています。選択したオプションによって、結果を取り込むために満たす必要のある条件が決まります。

フィルター条件の 3 番目のフィールドには、利用可能な検索フィールドでサポートされる値が含まれています。入力した検出結果フィールドが検出結果の値と一致していることを確認します。

たとえば、複数の値を持つ次のフィールドに は 、フィルター条件 contains を使用します。

• ワークフロー (ステータス)
• WorkflowState

• [AND] を選択した場合は、すべての条件に一致する必要があります。
• [OR] を選択した場合は、一致すべき条件がいずれか 1 つになります。

集計基準が満たされ、この受信インシデントを既存のセキュリティインシデントに追加できるように、複数選択入力フィールドで選択したすべてのフィールド値が一致する必要があります。この選択は、複数のフィールド値を持つ可能性がある [観測事象] や [構成アイテム] などのフィールドがマッピングされる AND 条件を意味します。値のサブセットのみが一致した場合、 AWS Security Hub 検索結果の集計条件は満たされず、新しいセキュリティインシデントが作成されます。

定義した複数選択フィールド条件のいずれかが満たされると、集計が行われます。この選択は OR 条件を意味します。

作業メモには、新しい検出結果が追加されたことが記録され、検出結果の詳細へのリンクが含まれています。作業メモの記録では、マッピングセクションの作業メモフィールドに追加した詳細も更新されます。