Traitement des GuardDuty résultats avec Amazon EventBridge

1. Pour l'ARN de rubrique, utilisez l'ARN de rubrique créé à l'Create an Amazon SNS topicétape. Le sujet ARN ressemble à ce qui suit :

   arn:aws:sns:us-east-2:123456789012:your_topic

2. Pour Protocol, sélectionnez Email.

3. Pour Endpoint, entrez l'adresse e-mail à laquelle vous souhaitez recevoir les notifications d'Amazon SNS.

   Une fois l'abonnement créé, vous devrez le confirmer via votre client de messagerie.

Pour créer une règle d'événement à l'aide de la console

1. Connectez-vous au Console de gestion AWS et ouvrez la EventBridge console Amazon à l'adresse https://console.aws.amazon.com/events/.

2. Dans le volet de navigation, sous Bus, sélectionnez Règles.

3. Dans la section Rules (Règles) choisissez Create rule (Créer une règle).

4. Sur la page détaillée de définition de la règle, procédez comme suit :

   1. Pour Name (Nom), entrez le nom de la règle.

   2. (Facultatif) Dans Description, entrez une brève description de la règle.

   3. Pour le bus d'événements, assurez-vous que la valeur par défaut est sélectionnée et que l'option Activer la règle sur le bus d'événements sélectionné est activée.

   4. Pour Type de règle, choisissez Règle avec un modèle d’événement.

   5. Lorsque vous avez terminé, choisissez Suivant.

5. Sur la page Créer un modèle d'événement, procédez comme suit :

   1. Dans Source de l'événement, sélectionnez AWS événements ou événements EventBridge partenaires.

   2. (Facultatif) Pour Exemple d'événement, consultez un exemple d'événement de recherche GuardDuty pour savoir ce qu'un événement peut contenir. Pour ce faire, choisissez AWS des événements. Ensuite, pour Exemples d'événements, choisissez GuardDuty Finding.

   3. Option 1 - Utiliser le formulaire de modèle, un modèle qui EventBridge fournit

      Dans la section Modèle d'événement, vous pouvez effectuer les opérations suivantes :

      1. Pour Méthode de création, sélectionnez Utiliser le formulaire de modèle.

      2. Pour Event source (Source d’événement), choisissez Services AWS.

      3. Pour Service AWS, choisissez GuardDuty.

      4. Pour Type d'événement, choisissez GuardDuty Finding (Résultat Amazon Macie).

      Lorsque vous avez terminé, choisissez Suivant.

   4. Option 2 - Utilisation d'un modèle d'événement personnalisé dans JSON

      Dans la section Modèle d'événement, vous pouvez effectuer les opérations suivantes :

      1. Pour Méthode de création, sélectionnez Modèle personnalisé (éditeur JSON).

      2. Pour Event pattern, collez le JSON personnalisé suivant qui créera une alerte pour les résultats moyens, élevés et critiques. Pour de plus amples informations, veuillez consulter Niveaux de gravité des résultats.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Lorsque vous avez terminé, choisissez Suivant.

6. Option A - Sélection Service AWS - AWS Lambda comme cible

   Sur la page Sélectionner une ou plusieurs cibles, procédez comme suit :

   1. Pour les types de cibles, sélectionnez Service AWS.

   2. Pour Select a target (Sélectionner une cible), choisissez Lambda Function (Fonction Lambda). Ensuite, dans Function, choisissez la fonction Lambda à laquelle vous souhaitez envoyer les événements de recherche.

   3. Dans Configure version/alias, entrez les paramètres de version ou d'alias pour la fonction Lambda cible.

   4. (Facultatif) Pour les paramètres supplémentaires, entrez des paramètres personnalisés pour spécifier les données d'événement que vous souhaitez envoyer à la fonction Lambda. Vous pouvez également spécifier comment gérer les événements qui ne sont pas correctement transmis à la fonction.

   5. Lorsque vous avez terminé, choisissez Suivant.

7. Option B - Sélection d'un sujet SNS comme cible

   Sur la page Sélectionner une ou plusieurs cibles, procédez comme suit :

   1. Pour les types de cibles, sélectionnez Service AWS.

   2. Pour Sélectionner une cible, choisissez Rubrique SNS. Ensuite, pour Emplacement cible, sélectionnez l'option appropriée en fonction de votre emplacement cible. Dans Rubrique, choisissez le nom de la rubrique SNS que vous avez créée.

   3. Développer Additional settings (Paramètres supplémentaires). Pour Configurer l'entrée cible, choisissez Transformateur d'entrée.

   4. Choisissez Configure input transformer (Configurer le transformateur d'entrée).

   5. Copiez le code suivant et collez-le dans le champ Chemin d'entrée de la section Transformateur d'entrée cible.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_Description": "$.detail.description"
      }

   6. Copiez le code suivant et collez-le dans le champ Modèle pour mettre en forme l'e-mail.

      
      {"message":"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\n\nFinding Description:\n<Finding_Description>.\n\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"}
                                  

      Important

      Fournissez le modèle sous la forme d'un objet JSON sur une seule ligne avec le message encapsulé dans une clémessage, comme indiqué dans l'exemple précédent, et utilisez-le \n pour ajouter des sauts de ligne. GuardDuty trouver des champs tels que ceux qui description peuvent contenir des caractères de contrôle non échappés, y compris des sauts de ligne. Si vous fournissez le modèle sous forme de chaîne entre guillemets nus, ou si vous placez un tel champ dans un modèle multiligne (qui utilise des chaînes entre guillemets séparées sur des lignes distinctes), la valeur substituée peut produire un JSON non valide, ce qui entraîne EventBridge le rejet de l'événement et l'échec de l'envoi de la notification.

8. Sur la page Configurer les balises, entrez éventuellement une ou plusieurs balises à attribuer à la règle. Ensuite, sélectionnez Suivant.

9. Sur la page Réviser et créer, vérifiez les paramètres de la règle et vérifiez qu'ils sont corrects.

   Pour modifier un paramètre, choisissez Modifier dans la section qui contient le paramètre, puis entrez le réglage correct. Vous pouvez également utiliser les onglets de navigation pour accéder à la page contenant un paramètre.

10. Lorsque vous avez terminé de vérifier les paramètres, choisissez Créer une règle.

Pour créer une règle et une cible

1. Pour créer une règle qui permet d' EventBridge envoyer des événements pour tous les résultats GuardDuty générés, exécutez la commande EventBridge CLI suivante.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Vous pouvez personnaliser davantage votre règle afin qu'elle indique d' EventBridge envoyer des événements uniquement pour un sous-ensemble des GuardDuty-generated résultats. Ce sous-ensemble est basé sur le ou les attributs de résultat qui sont spécifiés dans la règle. Par exemple, utilisez la commande CLI suivante pour créer une règle qui permet d' EventBridge envoyer uniquement des événements pour les GuardDuty résultats dont le niveau de gravité est 5 ou 8 :

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   À cette fin, vous pouvez utiliser n'importe quelle valeur de propriété disponible dans le JSON pour les GuardDuty résultats.

2. Pour associer une fonction Lambda en tant que cible à la règle que vous avez créée à l'étape 1, exécutez la commande CloudWatch CLI suivante.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Assurez-vous de remplacer your-target-name la commande ci-dessus par votre fonction Lambda actuelle pour les GuardDuty événements.

3. Pour ajouter les autorisations requises pour invoquer la cible, exécutez la commande d'interface de ligne de commande Lambda suivante.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Assurez-vous de remplacer your_function la commande ci-dessus par votre fonction Lambda actuelle pour les GuardDuty événements.