Procesamiento de resultados de GuardDuty con Amazon EventBridge

1. Para el ARN del tema, utilice el ARN del tema creado en el paso Create an Amazon SNS topic. El ARN de tema tiene un aspecto similar al siguiente:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. En Protocol, seleccione Email.

3. En Punto de conexión, escriba la dirección de correo electrónico donde desee que se reciban las notificaciones de Amazon SNS.

   Después de creada la suscripción, tendrá que confirmarla a través del cliente de correo electrónico.

Crear una regla para un evento con la consola

1. Inicie sesión en Consola de administración de AWS y abra la consola de Amazon EventBridge en https://console.aws.amazon.com/events/.

2. En el panel de navegación, en Buses, elija Reglas.

3. En la sección Reglas, elija Crear regla.

4. En la página Definir detalle de la regla, haga lo siguiente:

   1. En Nombre, ingrese el nombre de la regla.

   2. (Opcional) En Descripción, ingrese una breve descripción de la regla de autorización.

   3. En el caso del Bus de eventos, asegúrese de que esté seleccionada la opción predeterminada y que esté activada la opción Habilitar la regla en el bus de eventos seleccionado.

   4. En Tipo de regla, elija Regla con un patrón de evento.

   5. Cuando haya terminado, elija Siguiente.

5. En la página Crear patrón de evento, realice una de las siguientes acciones:

   1. En Origen del evento, elija Eventos de AWS o eventos de socios de EventBridge.

   2. (Opcional) En el caso de un evento de muestra, revise un evento de resultados de muestra para que GuardDuty sepa qué puede contener un evento. Para ello, seleccione AWSeventos. A continuación, en Eventos de muestra, seleccione Resultados de GuardDuty.

   3. Opción 1: usar la forma de patrones, una plantilla que proporciona EventBridge

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, seleccione Usar forma de patrón.

      2. En Origen del evento, elija Servicios de AWS.

      3. En Servicio de AWS, elija GuardDuty.

      4. En Tipo de evento, elija Resultado de GuardDuty.

      Cuando haya terminado, elija Siguiente.

   4. Opción 2: Uso de un patrón de eventos personalizado en JSON

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, elija Patrón personalizado (editor JSON).

      2. En el patrón de eventos, pegue el siguiente JSON personalizado para crear una alerta con los resultados medios, altos y críticos. Para obtener más información, consulte Niveles de gravedad de los resultados.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Cuando haya terminado, elija Siguiente.

6. Opción A: Seleccionar Servicio de AWS - AWS Lambda como objetivo

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. En Seleccione destino, elija Función de Lambda. Luego, en Función, elija la función de Lambda a la que quiera enviar los eventos de resultados.

   3. En Configurar version/alias, ingrese la configuración de versión o alias de la función de Lambda de destino.

   4. (Opcional) En Configuración adicional, introduzca una configuración personalizada para especificar qué datos de eventos desea enviar a la función de Lambda. También puede especificar cómo gestionar los eventos que no se envíen correctamente a la función.

   5. Cuando haya terminado, elija Siguiente.

7. Opción B: Selección del tema de SNS como destino

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. Para Seleccione un destino, elija Tema de SNS. A continuación, en Ubicación de destino, seleccione la opción adecuada en función de la ubicación de destino. En la lista Tema, seleccione el nombre del tema de SNS que creó.

   3. Amplíe Configuración adicional. En Configurar entrada de destino, seleccione Transformador de entrada).

   4. Elija Configurar transformador de entrada.

   5. Copie el siguiente código en el campo Ruta de entrada de la sección Transformador de entrada de destino.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. Copie el código siguiente y péguelo en el campo Plantilla para dar formato al correo electrónico.

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. En la página Configurar etiquetas, si lo desea, introduzca una o más etiquetas para asignarlas a la regla. A continuación, elija Siguiente.

9. En la página Revisar y crear, revise cada configuración y compruebe que es correcta.

   Para cambiar una configuración, elija Editar en la sección que contiene la configuración y, a continuación, escriba la configuración adecuada. También puede usar las pestañas de navegación para ir a la página que contiene una configuración.

10. Cuando termine de verificar la configuración, elija Crear regla.

Creación de una regla y un destino

1. Para crear una regla que permita a EventBridge enviar eventos para todos los resultados generados por GuardDuty, ejecute el siguiente comando de la CLI de EventBridge.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Puede seguir personalizando la regla de modo que indique a EventBridge que envíe eventos únicamente a un subconjunto de resultados generados por GuardDuty. Este subconjunto se basa en los atributos de resultado o atributos especificados en la regla. Por ejemplo, utilice el siguiente comando de la CLI para crear una regla que permita a EventBridge enviar eventos únicamente de los resultados de GuardDuty con una gravedad de 5 u 8:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Para ello, puede utilizar cualquiera de los valores de propiedad que están disponibles en el archivo JSON de los resultados de GuardDuty.

2. Para asociar una función de Lambda como un destino de la regla que ha creado en el paso 1, ejecute el siguiente comando de la CLI de CloudWatch.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Asegúrese de sustituir your-target-name en el comando anterior por la función de Lambda real para los eventos de GuardDuty.

3. Para agregar los permisos necesarios para invocar el destino, ejecute el siguiente comando de la CLI de Lambda.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Asegúrese de sustituir your_function en el comando anterior por la función de Lambda real para los eventos de GuardDuty.