Dettagli degli eventi di avviso del firewall DNS Dettagli dell'evento di blocco del firewall DNS

Informazioni dettagliate sugli eventi di Resolver DNS Firewall

Tutti gli eventi AWS dei servizi hanno un set comune di campi contenenti metadati sull'evento, ad esempio il AWS servizio che è l'origine dell'evento, l'ora in cui l'evento è stato generato, l'account e la regione in cui si è verificato l'evento e altri. Per le definizioni di questi campi generali, vedi Riferimento alla struttura degli eventi nella Guida per l'Amazon EventBridge utente.

Inoltre, ogni evento ha un campo detail che contiene dati specifici per quel particolare evento. Il riferimento riportato di seguito definisce i campi di dettaglio per i vari eventi del firewall DNS.

Quando si utilizza EventBridge per selezionare e gestire gli eventi del firewall DNS, è utile tenere presente quanto segue:

Il source campo per tutti gli eventi di DNS Firewall è impostato su. aws.route53resolver
Il campo detail-type specifica il tipo di evento.

Ad esempio DNS Firewall Block o DNS Firewall Alert.
Il campo detail contiene i dati specifici di quel particolare evento.

Per informazioni sulla creazione di modelli di eventi che consentano alle regole di corrispondere agli eventi del firewall DNS, consulta Schemi di eventi nella Guida per l'Amazon EventBridge utente.

Per ulteriori informazioni sugli eventi e su come li EventBridge elabora, consulta Amazon EventBridge gli eventi nella Guida per l'Amazon EventBridge utente.

Argomenti

Dettagli degli eventi di avviso del firewall DNS
Dettagli dell'evento di blocco del firewall DNS

Dettagli degli eventi di avviso del firewall DNS

Di seguito sono riportati i campi di dettaglio per i dettagli degli eventi relativi allo stato degli avvisi.

I detail-type campi source e sono inclusi perché contengono valori specifici per gli eventi di Route 53.


{...,
 "detail-type": "DNS Firewall Alert",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "firewall-protection": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifica il tipo di evento.

Per questo evento, questo valore èDNS Firewall Alert.

source

Identifica il servizio che ha generato l’evento. Per gli eventi DNS Firewall, questo valore èaws.route53resolver.

detail

Un oggetto JSON contenente informazioni sull’evento. Il servizio che genera l’evento determina il contenuto di questo campo.

Per questo evento, questi dati includono:

account-id: L'ID di chi Account AWS ha creato il VPC.
last-observed-at: Il timestamp di quando la Alert/Block query è stata effettuata nel VPC.
query-name: Il nome di dominio (esempio.com) o di sottodominio (www.esempio.com) specificato nella query.
query-type: Il tipo di record DNS specificato nella richiesta o QUALSIASI. Per ulteriori informazioni sui tipi supportati da Route 53, consulta Tipi di record DNS supportati.
query-class: La classe della query.
transport: Il protocollo utilizzato per inviare la query DNS.
firewall-rule-action: L'operazione specificata dalla regola che corrisponde al nome di dominio nella query. ALERT o BLOCK.
firewall-rule-group-id: L'ID del gruppo di regole di DNS Firewall che corrisponde al nome di dominio nella query. Per ulteriori informazioni sui gruppi di regole del firewall, vedere DNS Firewall. Gruppi di regole e regole in DNS Firewall
firewall-domain-list-id: L'elenco di domini utilizzato dalla regola che corrisponde al nome di dominio nella query.
firewall-protection: La protezione avanzata del firewall DNS: DGA, DICTIONARY_DGA o DNS_TUNNELING. Per ulteriori informazioniRegole avanzate del firewall DNS, vedere DNS Firewall.
resourcese: Contiene i tipi di risorse e dettagli aggiuntivi su di essi.
resource-type: Specifica il tipo di risorsa, ad esempio un endpoint del resolver o un'istanza VPC.
resource-type-detail: Dettagli aggiuntivi sulla risorsa.

Esempio Evento di avviso del firewall DNS

Di seguito è riportato un esempio di evento di avviso.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Alert",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "ALERT",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "firewall-protection": "DGA",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0",
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0"
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Dettagli dell'evento di blocco del firewall DNS

Di seguito sono riportati i campi di dettaglio perevent name.

I detail-type campi source e sono inclusi perché contengono valori specifici per gli eventi di Route 53.


{...,
 "detail-type": "DNS Firewall Block",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "firewall-protection": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifica il tipo di evento.

Per questo evento, questo valore èDNS Firewall Alert.

source

Identifica il servizio che ha generato l’evento. Per gli eventi DNS Firewall, questo valore èaws.route53resolver.

detail

Un oggetto JSON contenente informazioni sull’evento. Il servizio che genera l’evento determina il contenuto di questo campo.

Per questo evento, questi dati includono:

account-id: L'ID di chi Account AWS ha creato il VPC.
last-observed-at: Il timestamp di quando la Alert/Block query è stata effettuata nel VPC.
query-name: Il nome di dominio (esempio.com) o di sottodominio (www.esempio.com) specificato nella query.
query-type: Il tipo di record DNS specificato nella richiesta o QUALSIASI. Per ulteriori informazioni sui tipi supportati da Route 53, consulta Tipi di record DNS supportati.
query-class: La classe della query.
transport: Il protocollo utilizzato per inviare la query DNS.
firewall-rule-action: L'operazione specificata dalla regola che corrisponde al nome di dominio nella query. ALERT o BLOCK.
firewall-rule-group-id: L'ID del gruppo di regole di DNS Firewall che corrisponde al nome di dominio nella query. Per ulteriori informazioni sui gruppi di regole del firewall, vedere DNS Firewall. Gruppi di regole e regole in DNS Firewall
firewall-domain-list-id: L'elenco di domini utilizzato dalla regola che corrisponde al nome di dominio nella query.
firewall-protection: La protezione avanzata del firewall DNS: DGA, DICTIONARY_DGA o DNS_TUNNELING. Per ulteriori informazioniRegole avanzate del firewall DNS, vedere DNS Firewall.
resourcese: Contiene i tipi di risorse e dettagli aggiuntivi su di essi.
resource-type: Specifica il tipo di risorsa, ad esempio un endpoint del resolver o un'istanza VPC.
resource-type-detail: Dettagli aggiuntivi sulla risorsa.

Esempio Esempio di evento

Di seguito è riportato un esempio di evento di blocco.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Block",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "BLOCK",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "firewall-protection": "DNS_TUNNELING",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0"
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0",
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Gestione degli eventi DNS Firewall utilizzando EventBridge

Registrazione delle chiamate API Amazon Route 53 con AWS CloudTrail