Procesando GuardDuty las conclusiones con Amazon EventBridge

1. Para el ARN del tema, utilice el ARN del tema creado en el paso Create an Amazon SNS topic. El ARN de tema tiene un aspecto similar al siguiente:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. En Protocol, seleccione Email.

3. En Punto de conexión, escriba la dirección de correo electrónico donde desee que se reciban las notificaciones de Amazon SNS.

   Después de creada la suscripción, tendrá que confirmarla a través del cliente de correo electrónico.

Crear una regla para un evento con la consola

1. Inicia sesión en la EventBridge consola de Amazon Consola de administración de AWS y ábrela en https://console.aws.amazon.com/events/.

2. En el panel de navegación, en Buses, elija Reglas.

3. En la sección Reglas, elija Crear regla.

4. En la página Definir detalle de la regla, haga lo siguiente:

   1. En Nombre, ingrese el nombre de la regla.

   2. (Opcional) En Descripción, ingrese una breve descripción de la regla de autorización.

   3. En el caso del Bus de eventos, asegúrese de que esté seleccionada la opción predeterminada y que esté activada la opción Habilitar la regla en el bus de eventos seleccionado.

   4. En Tipo de regla, elija Regla con un patrón de evento.

   5. Cuando haya terminado, elija Siguiente.

5. En la página Crear patrón de evento, realice una de las siguientes acciones:

   1. En Origen del evento, selecciona AWS eventos o eventos EventBridge asociados.

   2. (Opcional) En el caso de un evento de muestra, consulta un ejemplo de evento de búsqueda GuardDuty para saber qué puede contener un evento. Para ello, seleccione AWS eventos. A continuación, en Ejemplos de eventos, selecciona GuardDutyBuscar.

   3. Opción 1: usar el formulario de patrón, una plantilla que EventBridge proporciona

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, seleccione Usar forma de patrón.

      2. En Origen del evento, elija Servicios de AWS.

      3. En Servicio de AWS, elija GuardDuty.

      4. En Tipo de evento, elija GuardDuty Buscar.

      Cuando haya terminado, elija Siguiente.

   4. Opción 2: Uso de un patrón de eventos personalizado en JSON

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, elija Patrón personalizado (editor JSON).

      2. En el patrón de eventos, pegue el siguiente JSON personalizado para crear una alerta con los resultados medios, altos y críticos. Para obtener más información, consulte Niveles de gravedad de los resultados.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Cuando haya terminado, elija Siguiente.

6. Opción A: Seleccionar Servicio de AWS - AWS Lambda como objetivo

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. En Seleccione destino, elija Función de Lambda. Luego, en Función, elija la función de Lambda a la que quiera enviar los eventos de resultados.

   3. En Configurar version/alias, ingrese la configuración de versión o alias de la función de Lambda de destino.

   4. (Opcional) En Configuración adicional, introduzca una configuración personalizada para especificar qué datos de eventos desea enviar a la función de Lambda. También puede especificar cómo gestionar los eventos que no se envíen correctamente a la función.

   5. Cuando haya terminado, elija Siguiente.

7. Opción B: Selección del tema de SNS como destino

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. Para Seleccione un destino, elija Tema de SNS. A continuación, en Ubicación de destino, seleccione la opción adecuada en función de la ubicación de destino. En la lista Tema, seleccione el nombre del tema de SNS que creó.

   3. Amplíe Configuración adicional. En Configurar entrada de destino, seleccione Transformador de entrada).

   4. Elija Configurar transformador de entrada.

   5. Copie el siguiente código en el campo Ruta de entrada de la sección Transformador de entrada de destino.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. Copie el código siguiente y péguelo en el campo Plantilla para dar formato al correo electrónico.

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. En la página Configurar etiquetas, si lo desea, introduzca una o más etiquetas para asignarlas a la regla. A continuación, elija Siguiente.

9. En la página Revisar y crear, revise cada configuración y compruebe que es correcta.

   Para cambiar una configuración, elija Editar en la sección que contiene la configuración y, a continuación, escriba la configuración adecuada. También puede usar las pestañas de navegación para ir a la página que contiene una configuración.

10. Cuando termine de verificar la configuración, elija Crear regla.

Creación de una regla y un destino

1. Para crear una regla que permita EventBridge enviar eventos para todos los hallazgos que se GuardDuty generen, ejecute el siguiente comando EventBridge CLI.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Puede personalizar aún más la regla para que indique que solo se EventBridge envíen eventos para un subconjunto de los hallazgos GuardDuty generados. Este subconjunto se basa en los atributos de resultado o atributos especificados en la regla. Por ejemplo, utilice el siguiente comando CLI para crear una regla que EventBridge permita enviar solo eventos para los GuardDuty hallazgos con una gravedad de 5 u 8:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Para ello, puede utilizar cualquiera de los valores de propiedad que estén disponibles en el JSON para GuardDuty los hallazgos.

2. Para adjuntar una función Lambda como destino para la regla que creó en el paso 1, ejecute el siguiente comando CloudWatch CLI.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Asegúrese de reemplazar your-target-name el comando anterior por su función Lambda real para los GuardDuty eventos.

3. Para agregar los permisos necesarios para invocar el destino, ejecute el siguiente comando de la CLI de Lambda.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Asegúrese de reemplazar your_function el comando anterior por su función Lambda real para los GuardDuty eventos.