Elaborazione dei GuardDuty risultati con Amazon EventBridge

1. Per Topic ARN, usa l'argomento ARN creato nella fase. Create an Amazon SNS topic L'argomento ARN è simile al seguente:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. Per Protocol (Protocollo), selezionare Email (E-mail).

3. Per Endpoint, inserisci un indirizzo email al quale desideri ricevere le notifiche da Amazon SNS.

   Dopo aver creato l'abbonamento, dovrai confermarlo tramite il tuo client di posta elettronica.

Per creare una regola di evento utilizzando la console

1. Accedi Console di gestione AWS e apri la EventBridge console Amazon all'indirizzo https://console.aws.amazon.com/events/.

2. Nel pannello di navigazione, in Autobus, scegli Regole.

3. Nella sezione Rules (Regole), scegli Create rule (Crea regola).

4. Nella pagina dei dettagli della definizione delle regole, procedi come segue:

   1. In Name (Nome), inserisci un nome per la regola.

   2. (Facoltativo) Per Descrizione, inserisci una breve descrizione della regola.

   3. Per Event bus, assicurati che l'impostazione predefinita sia selezionata e che Abilita la regola sul bus di eventi selezionato sia attivata.

   4. Per Tipo di regola, scegli Regola con un modello di eventi.

   5. Al termine, selezionare Next (Avanti).

5. Nella pagina Crea pattern di eventi, effettuate le seguenti operazioni:

   1. Per Origine evento, scegli AWS Eventi o Eventi EventBridge partner.

   2. (Facoltativo) Per Sample event, esamina un esempio di evento di ricerca GuardDuty per scoprire cosa potrebbe contenere un evento. Per fare ciò, scegli AWS eventi. Quindi, per Eventi di esempio, scegli GuardDuty Ricerca.

   3. Opzione 1: utilizzo di pattern form, un modello che EventBridge fornisce

      Nella sezione Event pattern, puoi fare quanto segue:

      1. Per il metodo di creazione, seleziona Usa il modulo del modello.

      2. In Event source (Origine eventi), selezionare Servizi AWS.

      3. Per Servizio AWS, scegliere GuardDuty.

      4. Per Tipo di evento, scegli GuardDuty Ricerca.

      Al termine, selezionare Next (Avanti).

   4. Opzione 2: utilizzo di un modello di evento personalizzato in JSON

      Nella sezione Event pattern, puoi fare quanto segue:

      1. Per il metodo di creazione, seleziona Modello personalizzato (editor JSON).

      2. Per Event pattern, incolla il seguente JSON personalizzato che creerà un avviso per risultati medi, alti e critici. Per ulteriori informazioni, consulta Livelli di gravità dei risultati.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Al termine, selezionare Next (Avanti).

6. Opzione A - Selezione Servizio AWS - AWS Lambda come obiettivo

   Nella pagina Seleziona bersagli, procedi come segue:

   1. Per i tipi di destinazione, selezionare Servizio AWS.

   2. Per Select a target (Seleziona destinazione), scegli Lambda function (Funzione Lambda). Quindi, per Funzione, scegli la funzione Lambda a cui vuoi inviare gli eventi di ricerca.

   3. Per Configure version/alias, inserisci le impostazioni della versione o dell'alias per la funzione Lambda di destinazione.

   4. (Facoltativo) Per le impostazioni aggiuntive, inserisci le impostazioni personalizzate per specificare quali dati dell'evento desideri inviare alla funzione Lambda. Puoi anche specificare come gestire gli eventi che non vengono recapitati correttamente alla funzione.

   5. Al termine, selezionare Next (Avanti).

7. Opzione B: selezione dell'argomento SNS come destinazione

   Nella pagina Seleziona destinatari, procedi come segue:

   1. Per i tipi di destinazione, selezionare Servizio AWS.

   2. Per Seleziona una destinazione, scegli Argomento SNS. Quindi, per Località di destinazione, seleziona l'opzione adatta in base alla posizione di destinazione. Per Argomento, scegli il nome dell'argomento SNS che hai creato.

   3. Espandere Additional settings (Impostazioni aggiuntive). Per Configura l'input di destinazione, scegli Trasformatore di ingresso.

   4. Seleziona Configura il trasformatore di input.

   5. Copia il codice seguente e incollalo nel campo Input Path nella sezione Target input transformer.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_Description": "$.detail.description"
      }

   6. Copia il codice seguente e incollalo nel campo Modello per formattare l'email.

      
      {"message":"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\n\nFinding Description:\n<Finding_Description>.\n\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"}
                                  

      Importante

      Fornisci il modello come oggetto JSON a riga singola con il messaggio racchiuso in una chiave comemessage, come mostrato nell'esempio precedente, e usalo \n per aggiungere interruzioni di riga. GuardDuty trovare campi che description possono contenere caratteri di controllo senza escape, comprese le nuove righe. Se fornisci il modello come stringa tra virgolette semplici o inserisci tale campo in un modello a più righe (uno che utilizza stringhe separate tra virgolette su righe separate), il valore sostituito può produrre un JSON non valido, con conseguente EventBridge rifiuto dell'evento e mancato recapito della notifica.

8. Nella pagina Configura i tag, è possibile inserire uno o più tag da assegnare alla regola. Quindi scegli Successivo.

9. Nella pagina Rivedi e crea, rivedi le impostazioni della regola e verifica che siano corrette.

   Per modificare un'impostazione, scegli Modifica nella sezione che contiene l'impostazione, quindi inserisci l'impostazione corretta. Puoi anche utilizzare le schede di navigazione per accedere alla pagina che contiene un'impostazione.

10. Al termine della verifica delle impostazioni, scegli Crea regola.

Per creare una regola e un target

1. Per creare una regola che EventBridge consenta di inviare eventi per tutti i risultati GuardDuty generati, esegui il seguente comando EventBridge CLI.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   È possibile personalizzare ulteriormente la regola in modo che indichi di EventBridge inviare eventi solo per un sottoinsieme dei risultati. GuardDuty-generated Questo sottoinsieme è basato sull'attributo o sugli attributi di risultato specificati nella regola. Ad esempio, utilizzate il seguente comando CLI per creare una regola che EventBridge consenta di inviare solo eventi relativi ai GuardDuty risultati con una gravità di 5 o 8:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   A tale scopo, puoi utilizzare uno qualsiasi dei valori delle proprietà disponibili nel JSON per GuardDuty i risultati.

2. Per allegare una funzione Lambda come destinazione per la regola creata nel passaggio 1, esegui il seguente comando CloudWatch CLI.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Assicurati di sostituire il your-target-name comando precedente con la tua effettiva funzione Lambda per gli eventi. GuardDuty

3. Per aggiungere le autorizzazioni necessarie per richiamare la destinazione, esegui il comando CLI di Lambda seguente.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Assicurati di sostituire your_function il comando precedente con la tua effettiva funzione Lambda per gli GuardDuty eventi.