ある会社がすべてのAWSリージョンでAmazon GuardDutyを有効にしました。あるVPCでは、EC2インスタンスがFTPサーバーとして機能し、多数のクライアントロケーションから大量の接続を受け取っています。GuardDutyはこれをブルートフォース攻撃としてフラグ付けします。会社はこの検出結果を誤検知としてマークしましたが、GuardDutyは引き続きこれを生成します。セキュリティエンジニアは、正当な異常に対する可視性を犠牲にすることなく、ノイズを減らすにはどうすればよいですか？

GuardDutyの抑制ルールを使用すると、特定の基準（この場合はFTPサーバーのIPアドレスや検出タイプなど）に一致する将来の検出結果を自動的にアーカイブできます。これにより、正当な脅威に対する可視性を維持しつつ、誤検知によるノイズを効果的に削減できます。FTP関連ルールを無効にすると、正当なブルートフォース攻撃の検出も見逃す可能性があります。IPアドレスを信頼済みIPリストに追加する方法はGuardDutyにはなく、GuardDutyは信頼済みIPリストをサポートしていません。Lambda関数で検出結果を削除する方法は、検出履歴を失い、監査証跡が不完全になるため推奨されません。