Amazon EventBridge を使用した GuardDuty 検出結果の処理

1. トピック ARN には、 Create an Amazon SNS topic ステップで作成したトピック ARN を使用します。トピック ARN は以下のようになります。

   arn:aws:sns:us-east-2:123456789012:your_topic

2. [Protocol] で [Email] を選択します。

3. [エンドポイント] には、Amazon SNS からの通知を受信する E メールアドレスを入力してください。

   サブスクリプションの作成後、E メールクライアントを通じてそれを確認する必要があります。

コンソールを使用してイベントのルールを作成するには

1. AWS マネジメントコンソール にサインインし、Amazon EventBridge コンソール (https://console.aws.amazon.com/events/) を開きます。

2. ナビゲーションペインの [バス] で、[ルール] を選択します。

3. セクションで、ルールの作成 を選択します。

4. 詳細のルール定義 で、次の操作を行います。

   1. 名前 にルールの名前を入力します。

   2. 説明 に、認可ルールの簡単な説明を入力します。

   3. イベントバスを選択 の下で、 デフォルトのイベントバスが選択され、選択したイベントバスのルールを有効にするがオンになっていることを確認します。

   4. ルールタイプ では、イベントパターンを持つルール を選択します。

   5. 終了したら、次へ を選択します。

5. イベントパターンの作成 で、次の操作を行います。

   1. [Event source] (イベントソース) で、[AWS events or EventBridge partner events] ( イベントまたは EventBridge パートナーイベント) を選択してください。

   2. (オプショナル) サンプルイベント については、GuardDuty 用のサンプル検出結果イベントを確認して、イベントに含まれる可能性がある内容を確認してください。そのためには、[AWS イベント] を選択します。次に、[サンプルイベント] で [GuardDuty 検出結果] を選択します。

   3. オプション 1 - EventBridge が提供するテンプレートであるパターンフォームを使用する

      [イベントパターン] セクションで次を実行できます。

      1. [作成方法] では [パターンフォームを使用する] を選択します。

      2. イベントソース で AWS のサービス を選択してください。

      3. AWS のサービス で、GuardDuty を選択します。

      4. [イベントタイプ] では、[GuardDuty の検出結果] を選択します。

      終了したら、次へ を選択します。

   4. オプション 2 - JSON でのカスタムイベントパターンの使用

      [イベントパターン] セクションで次を実行できます。

      1. [作成方法] で [カスタムパターン (JSON エディター)] を選択します。

      2. イベントパターンでは、以下のカスタム JSON を貼り付けてください。これにより、中程度、高、重大な検出結果に対するアラートが生成されます。詳細については、「検出結果の重要度レベル」を参照してください。

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      終了したら、次へ を選択します。

6. オプション A - ターゲットとして AWS のサービス - AWS Lambda を選択する

   [ターゲットを選択] ページで、次の操作を行います。

   1. [ターゲットタイプ] で [AWS のサービス] を選択します。

   2. [Select a target] (ターゲットを選択) では、[Lambda function] (Lambda 関数) を選択します。次に、関数で、結果イベントの送信先となる Lambda 関数を選択します。

   3. (オプション) バージョン/エイリアスを設定 で、ターゲットの Lambda 関数のバージョンまたはエイリアスの設定を入力します。

   4. (オプショナル) [追加設定] で、Lambda 関数に送信するイベントデータを指定します。関数に正常に配信されないイベントを処理する方法を指定することもできます。

   5. 終了したら、次へ を選択します。

7. オプション B - SNS トピックをターゲットとして選択

   [ターゲットを選択] ページで、次の操作を行います。

   1. [ターゲットタイプ] で [AWS のサービス] を選択します。

   2. [Select a target] (ターゲットの選択) には、[SNS topic] (SNS トピック) を選択してください。次に、ターゲットロケーションで、ターゲットロケーションに基づいて適切なオプションを選択してください。[トピック] で、作成した SNS トピックの名前を選択します。

   3. [追加の設定] を展開します。[ターゲット入力の設定] では、[入力トランスフォーマー] を選択します。

   4. 入力トランスフォーマーの設定 を選択します。

   5. 次のコードをコピーして、[ターゲット入力トランスフォーマー] セクションの [入力パス] フィールドに貼り付けます。

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. 次のコードをコピーして [テンプレート] フィールドに貼り付け、E メールをフォーマットします。

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. タグの設定 ページで、ルールに割り当てる 1 つ以上のタグをオプションで入力します。続いて、次へ を選択します。

9. 確認して作成するステップでは、ジョブの設定設定を確認し、それらが正しいことを検証します。

   設定を変更するには、設定が含まれるセクションで 編集を選択し、次に正しい設定を入力します。ナビゲーションタブを使用して、設定が含まれるページに移動することもできます。

10. 設定の確認が完了したら Create rule (ルールの作成) を選択します。

ルールおよびターゲットを作成するには

1. GuardDuty が生成するすべての検出結果に対して、EventBridge がイベントを送信できるようにするルールを作成するには、次の EventBridge CLI コマンドを実行します。

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   GuardDuty で生成された検出結果のサブセットにのみイベントを送信するよう EventBridge に指示できるように、ルールをさらにカスタマイズできます。このサブセットは、ルールで指定されている検出結果の属性に基づきます。例えば、次の CLI コマンドを使用して、EventBridge で重要度が 5 または 8 の GuardDuty の検出結果でイベントのみ送信できるようにルールを作成します。

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   この目的のために、GuardDuty の検出結果のための JSON で利用可能な任意のプロパティ値を使用できます。

2. ステップ 1 で作成したルールのターゲットとして Lambda 関数をアタッチするには、次の CloudWatch CLI コマンドを実行します。

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   上記コマンド内の your-target-name を GuardDuty イベントの実際の Lambda 関数に置き換えてください。

3. ターゲットを呼び出す上で必要な許可を追加するには、次の Lambda CLI コマンドを実行します。

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   上記コマンド内の your_function を GuardDuty イベントの実際の Lambda 関数に置き換えてください。