View a markdown version of this page

Membuat tanggapan khusus untuk temuan Amazon Inspector dengan Amazon EventBridge - Amazon Inspector
Skema peristiwaMembuat EventBridge aturan untuk memberi tahu Anda tentang temuan Inspektur AmazonEventBridge untuk lingkungan multi-akun Amazon Inspector

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Membuat tanggapan khusus untuk temuan Amazon Inspector dengan Amazon EventBridge

Amazon Inspector membuat acara di Amazon EventBridge untuk temuan yang baru dihasilkan dan temuan agregat. Amazon Inspector juga membuat acara untuk setiap perubahan pada status temuan. Ini berarti Amazon Inspector membuat acara baru untuk temuan ketika Anda mengambil tindakan seperti memulai ulang sumber daya atau mengubah tag yang terkait dengan sumber daya. Saat Amazon Inspector membuat acara baru untuk temuan yang diperbarui, temu id annya tetap sama.

catatan

Jika akun Anda adalah akun administrator yang didelegasikan oleh Inspektur Amazon, EventBridge menerbitkan acara ke akun Anda dan akun anggota tempat acara tersebut berasal.

Saat menggunakan EventBridge acara dengan Amazon Inspector, Anda dapat mengotomatiskan tugas untuk membantu Anda menanggapi masalah keamanan yang diungkapkan temuan Anda. Untuk menerima pemberitahuan tentang temuan Amazon Inspector berdasarkan EventBridge peristiwa, Anda harus membuat EventBridge aturan dan menentukan target untuk Amazon Inspector. A EventBridge turan ini memungkinkan EventBridge untuk mengirim pemberitahuan untuk temuan Amazon Inspector, dan target menentukan ke mana harus mengirim pemberitahuan.

Amazon Inspector memancarkan peristiwa ke bus acara default di Wilayah AWS tempat Anda saat ini menggunakan Amazon Inspector. Ini berarti Anda harus mengonfigurasi aturan acara untuk setiap Wilayah AWS tempat Anda mengaktifkan Amazon Inspector dan mengonfigurasi Amazon Inspector untuk menerima EventBridge acara. Amazon Inspector memancarkan acara berdasarkan upaya terbaik.

Bagian ini memberi Anda contoh skema peristiwa dan menjelaskan cara membuat EventBridge aturan.

Skema peristiwa

Berikut ini adalah contoh format acara Amazon Inspector untuk acara pencarian EC2. Misalnya skema jenis temuan dan jenis peristiwa lainnya, lihatSkema EventBridge acara Amazon untuk acara Amazon Inspector.


{
    "version": "0",
    "id": "66a7a279-5f92-971c-6d3e-c92da0950992",
    "detail-type": "Inspector2 Finding",
    "source": "aws.inspector2",
    "account": "111122223333",
    "time": "2023-01-19T22:46:15Z",
    "region": "us-east-1",
    "resources": ["i-0c2a343f1948d5205"],
    "detail": {
        "awsAccountId": "111122223333",
        "description": "\n It was discovered that the sound subsystem in the Linux kernel contained a\n race condition in some situations. A local attacker could use this to cause\n a denial of service (system crash).",
        "exploitAvailable": "YES",
        "exploitabilityDetails": {
            "lastKnownExploitAt": "Oct 24, 2022, 11:08:59 PM"
        },
        "findingArn": "arn:aws:inspector2:us-east-1:111122223333:finding/FINDING_ID",
        "firstObservedAt": "Jan 19, 2023, 10:46:15 PM",
        "fixAvailable": "YES",
        "lastObservedAt": "Jan 19, 2023, 10:46:15 PM",
        "packageVulnerabilityDetails": {
            "cvss": [{
                "baseScore": 4.7,
                "scoringVector": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H",
                "source": "NVD",
                "version": "3.1"
            }],
            "referenceUrls": ["https://lore.kernel.org/all/CAFcO6XN7JDM4xSXGhtusQfS2mSBcx50VJKwQpCq=WeLt57aaZA@mail.gmail.com/", "https://ubuntu.com/security/notices/USN-5792-1", "https://ubuntu.com/security/notices/USN-5791-2", "https://ubuntu.com/security/notices/USN-5791-1", "https://ubuntu.com/security/notices/USN-5793-2", "https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=8423f0b6d513b259fdab9c9bf4aaa6188d054c2d", "https://ubuntu.com/security/notices/USN-5793-1", "https://ubuntu.com/security/notices/USN-5792-2", "https://ubuntu.com/security/notices/USN-5791-3", "https://ubuntu.com/security/notices/USN-5793-4", "https://ubuntu.com/security/notices/USN-5793-3", "https://git.kernel.org/linus/8423f0b6d513b259fdab9c9bf4aaa6188d054c2d(6.0-rc5)", "https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3303"],
            "relatedVulnerabilities": [],
            "source": "UBUNTU_CVE",
            "sourceUrl": "https://people.canonical.com/~ubuntu-security/cve/2022/CVE-2022-3303.html",
            "vendorCreatedAt": "Sep 27, 2022, 11:15:00 PM",
            "vendorSeverity": "medium",
            "vulnerabilityId": "CVE-2022-3303",
            "vulnerablePackages": [{
                "arch": "X86_64",
                "epoch": 0,
                "fixedInVersion": "0:5.15.0.1027.31~20.04.16",
                "name": "linux-image-aws",
                "packageManager": "OS",
                "remediation": "apt update && apt install --only-upgrade linux-image-aws",
                "version": "5.15.0.1026.30~20.04.16"
            }]
        },
        "remediation": {
            "recommendation": {
                "text": "None Provided"
            }
        },
        "resources": [{
            "details": {
                "awsEc2Instance": {
                    "iamInstanceProfileArn": "arn:aws:iam::111122223333:instance-profile/AmazonSSMRoleForInstancesQuickSetup",
                    "imageId": "ami-0b7ff1a8d69f1bb35",
                    "ipV4Addresses": ["172.31.85.212", "44.203.45.27"],
                    "ipV6Addresses": [],
                    "launchedAt": "Jan 19, 2023, 7:53:14 PM",
                    "platform": "UBUNTU_20_04",
                    "subnetId": "subnet-8213f2a3",
                    "type": "t2.micro",
                    "vpcId": "vpc-ab6650d1"
                }
            },
            "id": "i-0c2a343f1948d5205",
            "partition": "aws",
            "region": "us-east-1",
            "type": "AWS_EC2_INSTANCE"
        }],
        "severity": "MEDIUM",
        "status": "ACTIVE",
        "title": "CVE-2022-3303 - linux-image-aws",
        "type": "PACKAGE_VULNERABILITY",
        "updatedAt": "Jan 19, 2023, 10:46:15 PM"
    }
}

Membuat EventBridge aturan untuk memberi tahu Anda tentang temuan Inspektur Amazon

Untuk meningkatkan visibilitas temuan Amazon Inspector, Anda dapat menggunakannya EventBridge untuk mengatur peringatan pencarian otomatis yang dikirim ke hub perpesanan. Topik ini menunjukkan cara mengirim peringatan CRITICAL dan temuan HIGH tingkat keparahan ke email, Slack, atau Amazon Chime. Anda akan mempelajari cara mengatur topik Layanan Pemberitahuan Sederhana Amazon dan kemudian menghubungkan topik tersebut ke aturan EventBridge acara.

Langkah 1. Menyiapkan topik dan titik akhir Amazon SNS

Untuk mengatur peringatan otomatis, Anda harus terlebih dahulu mengatur topik di Amazon Simple Notification Service dan menambahkan titik akhir. Untuk informasi selengkapnya, lihat panduan https://docs.aws.amazon.com/sns/latest/dg/sns-getting-started.html SNS.

Prosedur ini menentukan ke mana Anda ingin mengirim data temuan Amazon Inspector. Topik SNS dapat ditambahkan ke aturan EventBridge acara selama atau setelah pembuatan aturan acara.

Email setup
Membuat topik SNS

  1. Masuk ke konsol Amazon SNS di https://console.aws.amazon.com/sns/v3/home.

  2. Dari panel navigasi, pilih Topik, lalu pilih Buat Topik.

  3. Di bagian Buat topik, pilih Standar. Selanjutnya, masukkan nama topik, sepertiInspector_to_Email. Detail lainnya bersifat opsional.

  4. Pilih Buat Topik. Ini membuka panel baru dengan detail untuk topik baru Anda.

  5. Di bagian Langganan, pilih Buat Langganan.

    1. Dari menu Protokol, pilih Email.

    2. Di bidang Endpoint, masukkan alamat email yang ingin Anda terima notifikasi.

      catatan

      Anda akan diminta untuk mengkonfirmasi langganan Anda melalui klien email Anda setelah membuat langganan.

    3. Pilih Buat langganan.

  7. Cari pesan berlangganan di kotak masuk Anda dan pilih Kon firmasi Langganan.

Slack setup
Membuat topik SNS

  1. Masuk ke konsol Amazon SNS di https://console.aws.amazon.com/sns/v3/home.

  2. Dari panel navigasi, pilih Topik, lalu pilih Buat Topik.

  3. Di bagian Buat topik, pilih Standar. Selanjutnya, masukkan nama topik, sepertiInspector_to_Slack. Detail lainnya bersifat opsional. Pilih Buat topik untuk menyelesaikan pembuatan titik akhir.

Mengkonfigurasi Pengembang Amazon Q di klien aplikasi obrolan

  1. Arahkan ke Amazon Q Developer di konsol aplikasi obrolan dihttps://console.aws.amazon.com/chatbot/.

  2. Dari panel Kli en yang dikonfigurasi, pilih Konfigurasikan klien baru.

  3. Pilih Slack, lalu pilih Konfigurasi untuk mengonfirmasi.

    catatan

    Saat memilih Slack, Anda harus mengonfirmasi izin untuk Amazon Q Developer di aplikasi obrolan untuk mengakses saluran Anda dengan memilih izinkan.

  4. Pilih Konfigurasi saluran baru untuk membuka panel detail konfigurasi.

    1. Masukkan nama untuk saluran.

    2. Untuk saluran Slack, pilih saluran yang ingin Anda gunakan.

    3. Di Slack, salin ID saluran dari saluran pribadi dengan mengklik kanan pada nama saluran dan memilih Salin Tautan.

    4. Pada Konsol Manajemen AWS, di jendela Amazon Q Developer di aplikasi obrolan, tempel ID saluran yang Anda salin dari Slack ke bidang ID saluran pribadi.

    5. Di Izin, pilih untuk membuat peran IAM menggunakan template jika Anda belum memiliki peran.

    6. Untuk templ at Kebijakan, pilih Iz in notifikasi. Ini adalah template kebijakan IAM untuk Amazon Q Developer di aplikasi obrolan. Kebijakan ini menyediakan izin baca dan daftar yang diperlukan untuk CloudWatch alarm, peristiwa, dan log, dan untuk topik Amazon SNS.

    7. Untuk kebijakan pagar pembatas Saluran, pilih. AmazonInspector2ReadOnlyAccess

    8. Pilih Wilayah tempat Anda membuat topik SNS sebelumnya, lalu pilih topik Amazon SNS yang Anda buat untuk mengirim pemberitahuan ke saluran Slack.

  5. Pilih Konfigurasi.

Amazon Chime setup
Membuat topik SNS

  1. Masuk ke konsol Amazon SNS di https://console.aws.amazon.com/sns/v3/home.

  2. Pilih Top ik dari panel navigasi, lalu pilih Buat Topik.

  3. Di bagian Buat topik, pilih Standar. Selanjutnya, masukkan nama topik, sepertiInspector_to_Chime. Detail lainnya bersifat opsional. Pilih Buat topik untuk menyelesaikan.

Mengkonfigurasi Pengembang Amazon Q di klien aplikasi obrolan

  1. Arahkan ke Amazon Q Developer di konsol aplikasi obrolan dihttps://console.aws.amazon.com/chatbot/.

  2. Dari panel Klien yang dikonfigurasi, pilih Konfigurasikan klien baru.

  3. Pilih Chime, lalu pilih Konfigurasi untuk mengonfirmasi.

  4. Dari panel Detail konfigurasi, masukkan nama untuk saluran.

  5. Di Amazon Chime, buka ruang obrolan yang diinginkan.

    1. Pilih ikon roda gigi di sudut kanan atas dan pilih Kelola webhook dan bot.

    2. Pilih Salin URL untuk menyalin URL webhook ke clipboard Anda.

  6. Pada Konsol Manajemen AWS, di jendela Amazon Q Developer di aplikasi obrolan, tempel URL yang Anda salin ke bidang URL Webhook.

  7. Di Izin, pilih untuk membuat peran IAM menggunakan template jika Anda belum memiliki peran.

  8. Untuk templ at Kebijakan, pilih Iz in notifikasi. Ini adalah template kebijakan IAM untuk Amazon Q Developer di aplikasi obrolan. Ini menyediakan izin baca dan daftar yang diperlukan untuk CloudWatch alarm, peristiwa, dan log, dan untuk topik Amazon SNS.

  9. Pilih Wilayah tempat Anda membuat topik SNS sebelumnya, lalu pilih topik Amazon SNS yang Anda buat untuk mengirim pemberitahuan ke ruang Amazon Chime.

  10. Pilih Konfigurasi.

Langkah 2. Buat EventBridge aturan untuk temuan Amazon Inspector

  1. Masuk menggunakan kredensi Anda.

  2. Buka EventBridge konsol Amazon di https://console.aws.amazon.com/events/.

  3. Pilih Aturan dari panel navigasi, lalu pilih Buat aturan.

  4. Masukkan nama dan deskripsi opsional untuk aturan Anda.

  5. Pilih Aturan dengan pola acara dan kemudian Ber ikutnya.

  6. Di panel Pola Peristiwa, pilih Pola khusus (editor JSON).

  7. Tempelkan JSON berikut ke editor. 

    {
  "source": ["aws.inspector2"],
  "detail-type": ["Inspector2 Finding"],
  "detail": {
    "severity": ["HIGH", "CRITICAL"],
    "status": ["ACTIVE"]
  }
}
    catatan

    Pola ini mengirimkan pemberitahuan untuk setiap temuan aktif CRITICAL atau HIGH tingkat keparahan yang terdeteksi oleh Amazon Inspector.

    Pilih Berikutnya ketika Anda selesai memasukkan pola acara.

  8. Pada halaman Pilih target, pilih Layanan AWS. Kemudian, untuk Pilih jenis target, pilih topik SNS.

  9. Untuk Top ik, pilih nama topik SNS yang Anda buat di langkah 1. Lalu pilih Selanjutnya.

  10. Tambahkan tag opsional jika diperlukan dan pilih Ber ikutnya.

  11. Tinjau aturan Anda, lalu pilih Buat aturan.

EventBridge untuk lingkungan multi-akun Amazon Inspector

Jika Anda adalah administrator yang didelegasikan oleh Inspektur Amazon, EventBridge aturan akan muncul di akun Anda berdasarkan temuan yang berlaku dari akun anggota Anda. Jika Anda mengatur notifikasi temuan melalui EventBridge akun administrator Anda, seperti yang dijelaskan di bagian sebelumnya, Anda akan menerima pemberitahuan tentang beberapa akun. Dengan kata lain, Anda akan diberitahu tentang temuan dan peristiwa yang dihasilkan oleh akun anggota Anda selain yang dihasilkan oleh akun Anda sendiri.

Anda dapat menggunakan detail JSON temuan untuk mengidentifikasi akun anggota dari mana temuan Inspektur Amazon berasal. accountId