Bearbeitung der GuardDuty Ergebnisse mit Amazon EventBridge

1. Verwenden Sie für Themen-ARN das im Create an Amazon SNS topic Schritt erstellte Thema-ARN. Das Thema ARN sieht ähnlich wie folgt aus:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. Wählen Sie unter Protocol die Option Email aus.

3. Geben Sie für Endpoint eine E-Mail-Adresse ein, an die Sie die Benachrichtigungen von Amazon SNS erhalten möchten.

   Nachdem das Abonnement erstellt wurde, müssen Sie es über Ihren E-Mail-Client bestätigen.

So erstellen Sie eine Ereignisregel mithilfe der Konsole

1. Melden Sie sich bei der an AWS-Managementkonsole und öffnen Sie die EventBridge Amazon-Konsole unter https://console.aws.amazon.com/events/.

2. Wählen Sie im Navigationsbereich unter Busse die Option Regeln aus.

3. Wählen Sie im Abschnitt Rules (Regeln) die Option Create rule (Regel erstellen) aus.

4. Gehen Sie auf der Seite „Regeldetails definieren“ wie folgt vor:

   1. Geben Sie für Rule name (Regelname) einen Namen für die Regel ein.

   2. (Optional) Geben Sie unter Beschreibung eine kurze Beschreibung der Regel ein.

   3. Vergewissern Sie sich, dass für Event-Bus die Option Standard ausgewählt und die Option Regel auf dem ausgewählten Event-Bus aktivieren aktiviert ist.

   4. Bei Regeltyp wählen Sie Regel mit einem Ereignismuster aus.

   5. Wenn Sie fertig sind, wählen Sie Next (Weiter) aus.

5. Gehen Sie auf der Seite „Event-Muster erstellen“ wie folgt vor:

   1. Wählen Sie als Eventquelle die Option AWS Ereignisse oder EventBridge Partnerereignisse aus.

   2. (Optional) Sehen Sie sich unter Beispielereignis ein Beispiel für ein Findereignis an GuardDuty , um zu erfahren, was ein Ereignis beinhalten könnte. Wählen Sie dazu AWS Ereignisse aus. Wählen Sie dann für Beispielereignisse die Option GuardDuty Suchen aus.

   3. Option 1 — Verwenden Sie das Musterformular, eine Vorlage, die Folgendes EventBridge bietet

      Im Abschnitt Event-Muster können Sie Folgendes tun:

      1. Wählen Sie als Erstellungsmethode die Option Musterformular verwenden aus.

      2. Wählen Sie für Ereignisquelle die Option AWS-Services aus.

      3. Wählen Sie für AWS-Service GuardDuty aus.

      4. Wählen Sie als Ereignistyp die Option GuardDuty Suchen aus.

      Wenn Sie fertig sind, wählen Sie Next (Weiter) aus.

   4. Option 2 — Verwenden eines benutzerdefinierten Ereignismusters in JSON

      Im Abschnitt Event-Muster können Sie Folgendes tun:

      1. Wählen Sie als Erstellungsmethode die Option Benutzerdefiniertes Muster (JSON-Editor) aus.

      2. Fügen Sie für das Ereignismuster den folgenden benutzerdefinierten JSON-Code ein, der eine Warnung bei mittleren, hohen und kritischen Ergebnissen generiert. Weitere Informationen finden Sie unter Schweregrad der Ergebnisse.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Wenn Sie fertig sind, wählen Sie Next (Weiter) aus.

6. Option A — Auswählen AWS-Service - AWS Lambda als Ziel

   Gehen Sie auf der Seite „Ziel (e) auswählen“ wie folgt vor:

   1. Wählen Sie für Zieltypen aus AWS-Service.

   2. Für Select a target (Ein Ziel auswählen), wählen die Option Lambda function (Lambda-Funktion) aus. Wählen Sie dann für Function die Lambda-Funktion aus, an die Sie Findereignisse senden möchten.

   3. Geben Sie für Configure version/alias die Versions- oder Aliaseinstellungen für die Lambda-Zielfunktion ein.

   4. (Optional) Geben Sie für Zusätzliche Einstellungen benutzerdefinierte Einstellungen ein, um anzugeben, welche Ereignisdaten Sie an die Lambda-Funktion senden möchten. Sie können auch angeben, wie Ereignisse behandelt werden sollen, die nicht erfolgreich an die Funktion übermittelt werden.

   5. Wenn Sie fertig sind, wählen Sie Next (Weiter) aus.

7. Option B — SNS-Thema als Ziel auswählen

   Gehen Sie auf der Seite „Ziel (e) auswählen“ wie folgt vor:

   1. Wählen Sie für Zieltypen aus AWS-Service.

   2. Für Select a target (Wählen Sie ein Ziel aus), wählen Sie SNS-Thema aus. Wählen Sie dann für Zielstandort die passende Option aus, die auf Ihrem Zielstandort basiert. Wählen Sie für Thema den Namen des SNS-Themas aus, das Sie erstellt haben.

   3. Erweitern Sie Additional settings (Zusätzliche Einstellungen). Wählen Sie für Zieleingang konfigurieren die Option Eingangstransformator aus.

   4. Wählen Sie Configure input transformer (Eingabetransformator konfigurieren).

   5. Kopieren Sie den folgenden Code und fügen Sie ihn in das Feld Eingabepfad im Abschnitt Zieleingangstransformator ein.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_Description": "$.detail.description"
      }

   6. Kopieren Sie den folgenden Code und fügen Sie ihn in das Vorlagenfeld ein, um die E-Mail zu formatieren.

      
      {"message":"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\n\nFinding Description:\n<Finding_Description>.\n\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"}
                                  

      Wichtig

      Stellen Sie die Vorlage als einzeiliges JSON-Objekt bereitmessage, wobei die Nachricht in einen Schlüssel wie im vorherigen Beispiel eingeschlossen ist, und verwenden Sie sie, \n um Zeilenumbrüche hinzuzufügen. GuardDuty Suchen nach Feldern, die Steuerzeichen ohne Escape-Zeichen enthalten description können, einschließlich Zeilenumbrüchen. Wenn Sie die Vorlage in bloßen Anführungszeichen angeben oder ein solches Feld in eine mehrzeilige Vorlage einfügen (eine Vorlage, die separate Zeichenketten in Anführungszeichen in separaten Zeilen verwendet), kann der ersetzte Wert zu ungültigem JSON führen, was EventBridge dazu führt, dass das Ereignis abgelehnt und die Benachrichtigung nicht zugestellt wird.

8. Geben Sie auf der Seite „Tags konfigurieren“ optional ein oder mehrere Tags ein, die der Regel zugewiesen werden sollen. Klicken Sie anschließend auf Weiter.

9. Überprüfen Sie auf der Seite Überprüfen und erstellen die Einstellungen der Regel und vergewissern Sie sich, dass sie korrekt sind.

   Um eine Einstellung zu ändern, wählen Sie in dem Abschnitt, der die Einstellung enthält, Bearbeiten aus und geben Sie dann die richtige Einstellung ein. Sie können auch die Navigationsregister verwenden, um zu der Seite zu wechseln, die eine Einstellung enthält.

10. Wenn Sie mit der Überprüfung der Einstellungen fertig sind, wählen Sie Regel erstellen aus.

Erstellen von Regeln und Zielen

1. Führen Sie den folgenden EventBridge CLI-Befehl aus, EventBridge um eine Regel zu erstellen, die das Senden von Ereignissen für alle GuardDuty generierten Ergebnisse ermöglicht.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Sie können Ihre Regel weiter anpassen, sodass sie anweist, Ereignisse nur für eine Teilmenge der GuardDuty-generated Ergebnisse EventBridge zu senden. Diese Untergruppe basiert auf dem/den in der Regel angegebenen Ergebnisattribut(en). Verwenden Sie beispielsweise den folgenden CLI-Befehl, um eine Regel zu erstellen, die es ermöglicht, nur Ereignisse für die GuardDuty Ergebnisse mit dem Schweregrad 5 oder 8 EventBridge zu senden:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Zu diesem Zweck können Sie jeden der Eigenschaftswerte verwenden, die im JSON für GuardDuty Ergebnisse verfügbar sind.

2. Um eine Lambda-Funktion als Ziel für die Regel anzuhängen, die Sie in Schritt 1 erstellt haben, führen Sie den folgenden CloudWatch CLI-Befehl aus.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Stellen Sie sicher, dass Sie your-target-name den obigen Befehl durch Ihre tatsächliche Lambda-Funktion für die GuardDuty Ereignisse ersetzen.

3. Führen Sie den folgenden Lambda-CLI-Befehl aus, um die erforderlichen Berechtigungen zum Aufrufen des Ziels hinzuzufügen.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Stellen Sie sicher, dass Sie your_function den obigen Befehl durch Ihre tatsächliche Lambda-Funktion für die GuardDuty Ereignisse ersetzen.