Amazon EventBridge를 사용하여 GuardDuty 조사 결과 처리

1. 주제 ARN의 경우 Create an Amazon SNS topic 단계에서 생성된 주제 ARN을 사용합니다. ARN 주제는 다음과 유사합니다.

   arn:aws:sns:us-east-2:123456789012:your_topic

2. 프로토콜에서 이메일을 선택합니다.

3. 엔드포인트는 Amazon SNS 알림을 받을 이메일 주소를 입력합니다.

   구독이 생성된 후에는 이메일 클라이언트를 통해 이를 확인해야 합니다.

콘솔을 사용하여 이벤트 규칙을 생성하려면

1. AWS Management 콘솔에 로그인하고 https://console.aws.amazon.com/events/에서 Amazon EventBridge 콘솔을 엽니다.

2. 탐색 창의 버스 아래에서 규칙을 선택합니다.

3. Rules(규칙) 섹션에서 Create rule(규칙 생성)을 선택합니다.

4. 규칙 세부 정보 정의 페이지에서 다음을 수행합니다.

   1. Name(이름)에 규칙 이름을 입력합니다.

   2. (선택 사항) 설명에 규칙에 대한 간략한 설명을 입력합니다.

   3. 이벤트 버스의 경우 기본값이 선택되어 있고 선택한 이벤트 버스에 대해 규칙 활성화가 켜져 있는지 확인하세요.

   4. 규칙 유형(Rule type)에서 이벤트 패턴이 있는 규칙(Rule with an event pattern)을 생성합니다.

   5. 마쳤으면 다음을 선택합니다.

5. 이벤트 패턴 빌드 페이지에서 다음을 수행합니다.

   1. 이벤트 소스에서 AWS 이벤트 또는 EventBridge 파트너 이벤트를 선택합니다.

   2. (선택 사항) 샘플 이벤트의 경우 GuardDuty의 샘플 조사 결과 이벤트를 검토하여 이벤트에 포함될 수 있는 항목을 알아보세요. 이렇게 하려면 AWS 이벤트를 선택하세요. 그런 다음 샘플 이벤트에서 GuardDuty 조사 결과를 선택합니다.

   3. 옵션 1 - EventBridge가 제공하는 템플릿인 패턴 양식 사용

      이벤트 패턴 섹션에서 다음을 수행합니다.

      1. 생성 방법은 패턴 양식 사용을 선택합니다.

      2. 이벤트 소스에서 AWS 서비스를 선택합니다.

      3. AWS 서비스는 GuardDuty를 선택합니다.

      4. 이벤트 유형에서 GuardDuty 조사 결과를 선택합니다.

      마쳤으면 다음을 선택합니다.

   4. 옵션 2 - JSON에서 사용자 지정 이벤트 패턴 사용

      이벤트 패턴 섹션에서 다음을 수행합니다.

      1. 생성 방법은 사용자 지정 패턴(JSON 편집기)을 선택합니다.

      2. 이벤트 패턴에 다음과 같은 사용자 지정 JSON을 붙여넣으면 중간, 높음 및 중요 조사 결과에 대한 알림이 생성됩니다. 자세한 내용은 검색 조사 결과 심각도 수준 섹션을 참조하세요.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      마쳤으면 다음을 선택합니다.

6. 옵션 A - AWS 서비스 - AWS Lambda를 대상으로 선택

   대상 선택 페이지에서 다음을 수행합니다.

   1. 대상 유형의 경우 AWS 서비스를 선택합니다.

   2. 대상 선택에서 Lambda 함수를 선택합니다. 그런 다음 함수에서 이벤트를 보낼 함수를 선택합니다.

   3. 버전/별칭 구성에 대상 Lambda 함수의 버전 또는 별칭 설정을 입력합니다.

   4. (선택 사항) 추가 설정의 경우 사용자 지정 설정을 입력하여 Lambda 함수로 전송할 이벤트 데이터를 지정합니다. 함수에 성공적으로 전달되지 않은 이벤트를 처리하는 방법도 지정할 수 있습니다.

   5. 마쳤으면 다음을 선택합니다.

7. 옵션 B - 대상으로 SNS 주제 선택

   대상 선택 페이지에서 다음을 수행합니다.

   1. 대상 유형의 경우 AWS 서비스를 선택합니다.

   2. 대상 선택에서 SNS 주제를 선택합니다. 그런 다음 대상 위치에서 대상 위치에 따라 적절한 옵션을 선택합니다. 주제는 생성한 SNS 주제의 이름을 선택합니다.

   3. 추가 설정을 폅니다. 대상 입력 구성은 입력 트랜스포머를 선택합니다.

   4. Configure input transformer(입력 구성 변환기)를 선택합니다.

   5. 다음 코드를 복사하여 대상 입력 트랜스포머 섹션 아래의 입력 경로 필드에 붙여 넣으세요.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. 다음 코드를 복사하고 템플릿 필드에 붙여 넣어 이메일의 형식을 지정합니다.

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. 태그 구성 페이지에서 규칙에 할당할 하나 이상의 태그를 선택적으로 입력합니다. 그런 다음 다음을 선택합니다.

9. 검토 및 생성 페이지에서 규칙의 설정을 검토하고 올바른지 확인합니다.

   설정을 변경하려면, 설정이 포함된 섹션에서 편집을 선택한 다음, 올바른 설정을 입력합니다. 탐색 탭을 사용하여 설정이 포함된 페이지로 이동할 수도 있습니다.

10. 설정 검증을 마치면 생성를 선택합니다.

규칙 및 대상을 만들려면

1. GuardDuty에서 생성한 모든 조사 결과에 대한 이벤트를 보내도록 EventBridge를 활성화하는 규칙을 만들려면 다음 EventBridge CLI 명령을 실행합니다.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   규칙을 추가적으로 사용자 지정하여 GuardDuty에서 생성한 조사 결과의 하위 집합에 대해서만 이벤트를 보내도록 EventBridge에 지시할 수 있습니다. 이 하위 집합은 규칙에서 지정되는 결과 속성 또는 속성을 기반으로 합니다. 예를 들어 다음 CLI 명령을 사용하여 심각도가 5 또는 8인 GuardDuty 조사 결과에 대해서만 EventBridge에서 이벤트를 보낼 수 있는 규칙을 생성합니다.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   이를 위해 JSON에서 사용할 수 있는 속성 값을 GuardDuty 결과에 사용할 수 있습니다.

2. 1단계에서 만든 규칙에 대한 대상으로 Lambda 함수를 연결하려면 다음 CloudWatch CLI 명령을 실행합니다.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   위의 명령에서 your-target-name을 GuardDuty 이벤트의 실제 Lambda 함수로 바꿔야 합니다.

3. 대상을 간접적으로 호출하는 데 필요한 권한을 추가하려면 다음 Lambda CLI 명령을 실행합니다.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   위의 명령에서 your_function을 GuardDuty 이벤트의 실제 Lambda 함수로 바꿔야 합니다.