Procesamiento de GuardDuty hallazgos con Amazon EventBridge

1. Para el ARN del tema, utilice el ARN del tema creado en el paso Create an Amazon SNS topic. El ARN de tema tiene un aspecto similar al siguiente:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. En Protocol, seleccione Email.

3. En Punto de conexión, escriba la dirección de correo electrónico donde desee que se reciban las notificaciones de Amazon SNS.

   Después de creada la suscripción, tendrá que confirmarla a través del cliente de correo electrónico.

Crear una regla para un evento con la consola

1. Inicia sesión en Consola de administración de AWS y abre la EventBridge consola de Amazon en https://console.aws.amazon.com/events/.

2. En el panel de navegación, en Buses, elija Reglas.

3. En la sección Reglas, elija Crear regla.

4. En la página Definir detalle de la regla, haga lo siguiente:

   1. En Nombre, ingrese el nombre de la regla.

   2. (Opcional) En Descripción, ingrese una breve descripción de la regla de autorización.

   3. En el caso del Bus de eventos, asegúrese de que esté seleccionada la opción predeterminada y que esté activada la opción Habilitar la regla en el bus de eventos seleccionado.

   4. En Tipo de regla, elija Regla con un patrón de evento.

   5. Cuando haya terminado, elija Siguiente.

5. En la página Crear patrón de evento, realice una de las siguientes acciones:

   1. En Fuente de eventos, elige AWS eventos o eventos de EventBridge socios.

   2. (Opcional) En el caso de un evento de muestra, consulta un ejemplo de evento de búsqueda GuardDuty para saber qué puede contener un evento. Para ello, seleccione AWS eventos. A continuación, en Eventos de muestra, elige GuardDuty Buscar.

   3. Opción 1: usar un formulario de patrón, una plantilla que EventBridge proporciona

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, seleccione Usar forma de patrón.

      2. En Origen del evento, elija Servicios de AWS.

      3. En Servicio de AWS, elija GuardDuty.

      4. En Tipo de evento, elija GuardDuty Buscar.

      Cuando haya terminado, elija Siguiente.

   4. Opción 2: Uso de un patrón de eventos personalizado en JSON

      En la sección Patrón de eventos, realice una de las siguientes acciones:

      1. En Método de creación, elija Patrón personalizado (editor JSON).

      2. En el patrón de eventos, pegue el siguiente JSON personalizado para crear una alerta con los resultados medios, altos y críticos. Para obtener más información, consulte Niveles de gravedad de los resultados.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Cuando haya terminado, elija Siguiente.

6. Opción A: Seleccionar Servicio de AWS - AWS Lambda como objetivo

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. En Seleccione destino, elija Función de Lambda. Luego, en Función, elija la función de Lambda a la que quiera enviar los eventos de resultados.

   3. version/aliasEn Configurar, introduzca la configuración de versión o alias para la función Lambda de destino.

   4. (Opcional) En Configuración adicional, introduzca una configuración personalizada para especificar qué datos de eventos desea enviar a la función de Lambda. También puede especificar cómo gestionar los eventos que no se envíen correctamente a la función.

   5. Cuando haya terminado, elija Siguiente.

7. Opción B: Selección del tema de SNS como destino

   En la página Seleccionar destino(s), haga lo siguiente:

   1. Para los tipos de destino, seleccione Servicio de AWS.

   2. Para Seleccione un destino, elija Tema de SNS. A continuación, en Ubicación de destino, seleccione la opción adecuada en función de la ubicación de destino. En la lista Tema, seleccione el nombre del tema de SNS que creó.

   3. Amplíe Configuración adicional. En Configurar entrada de destino, seleccione Transformador de entrada).

   4. Elija Configurar transformador de entrada.

   5. Copie el siguiente código en el campo Ruta de entrada de la sección Transformador de entrada de destino.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_Description": "$.detail.description"
      }

   6. Copie el código siguiente y péguelo en el campo Plantilla para dar formato al correo electrónico.

      
      {"message":"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\n\nFinding Description:\n<Finding_Description>.\n\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"}
                                  

      importante

      Proporcione la plantilla como un objeto JSON de una sola línea con el mensaje envuelto en una clavemessage, como la que se muestra en el ejemplo anterior, y utilícela \n para agregar saltos de línea. GuardDuty campos de búsqueda como los que description pueden contener caracteres de control sin escapes, incluidas las líneas nuevas. Si proporciona la plantilla como una cadena entre comillas simples o coloca un campo de este tipo en una plantilla de varias líneas (una que utilice cadenas entre comillas separadas en líneas distintas), el valor sustituido puede generar un JSON no válido, lo que EventBridge provocará que se rechace el evento y no se entregue la notificación.

8. En la página Configurar etiquetas, si lo desea, introduzca una o más etiquetas para asignarlas a la regla. A continuación, elija Siguiente.

9. En la página Revisar y crear, revise cada configuración y compruebe que es correcta.

   Para cambiar una configuración, elija Editar en la sección que contiene la configuración y, a continuación, escriba la configuración adecuada. También puede usar las pestañas de navegación para ir a la página que contiene una configuración.

10. Cuando termine de verificar la configuración, elija Crear regla.

Creación de una regla y un destino

1. Para crear una regla que permita EventBridge enviar eventos para todos los hallazgos que se GuardDuty generen, ejecute el siguiente comando de la EventBridge CLI.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Puede personalizar aún más la regla para que indique EventBridge que se envíen eventos solo para un subconjunto de los GuardDuty-generated hallazgos. Este subconjunto se basa en los atributos de resultado o atributos especificados en la regla. Por ejemplo, utilice el siguiente comando de la CLI para crear una regla que EventBridge permita enviar únicamente eventos para los GuardDuty hallazgos cuya gravedad sea de 5 u 8:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Para ello, puede usar cualquiera de los valores de propiedad que están disponibles en el JSON para GuardDuty los hallazgos.

2. Para adjuntar una función de Lambda como objetivo para la regla que creó en el paso 1, ejecute el siguiente comando de la CloudWatch CLI.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Asegúrese de reemplazar your-target-name el comando anterior por su función Lambda real para los GuardDuty eventos.

3. Para agregar los permisos necesarios para invocar el destino, ejecute el siguiente comando de la CLI de Lambda.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Asegúrate de reemplazarla your_function en el comando anterior por tu función Lambda real para los GuardDuty eventos.