Processar descobertas do GuardDuty com o Amazon EventBridge

1. Para ARN de tópico, use o ARN do tópico criado na etapa Create an Amazon SNS topic. O ARN do tópico é semelhante ao seguinte:

   arn:aws:sns:us-east-2:123456789012:your_topic

2. Em Protocol (Protocolo), selecione Email.

3. Para Endpoint, insira um endereço de e-mail no qual deseja receber as notificações do Amazon SNS.

   Após criar a assinatura, você precisa confirmá-la por meio de seu cliente de e-mail.

Para criar uma regra de evento usando o console

1. Faça login noConsole de gerenciamento da AWS e abra o console do Amazon EventBridge em https://console.aws.amazon.com/events/.

2. No painel de navegação, em Barramentos, selecione Regras.

3. Na seção Regras, selecione Criar regra.

4. Em Definir detalhe da regra, faça o seguinte:

   1. Em Nome, insira um nome para a regra.

   2. (Opcional) Em Descrição, insira uma breve descrição da regra.

   3. Para Barramento de eventos, verifique se o padrão está selecionado e Habilitar a regra nos barramentos de eventos selecionados está ligado.

   4. Para Tipo de regra, escolha Regra com padrão de evento.

   5. Ao terminar, escolha Avançar.

5. Na página Criar padrão de evento, faça o seguinte:

   1. Em Origem do evento, escolha Eventos da AWS ou eventos de parceiro do EventBridge.

   2. (Opcional) Para Evento de amostra, analise um evento de descoberta de amostra para o GuardDuty para saber o que um evento pode conter. Para fazer isso, selecione eventos da AWS. Em seguida, em Eventos de amostra, escolha Descoberta do GuardDuty.

   3. Opção 1 – usar o formulário padrão, um modelo fornecido pelo EventBridge

      Na seção Padrão de evento, faça o seguinte:

      1. Para Método de criação, selecione Usar formulário padrão.

      2. Para Origem do evento, escolha Serviços da AWS.

      3. Para AWS service (Serviço da AWS), escolha GuardDuty.

      4. No menu Tipo de evento, escolha Descoberta do GuardDuty.

      Ao terminar, escolha Avançar.

   4. Opção 2 – usar padrão de evento personalizado em JSON

      Na seção Padrão de evento, faça o seguinte:

      1. Para Método de criação, selecione Padrão personalizado (editor JSON).

      2. Para Padrão de evento, cole o seguinte JSON personalizado que criará um alerta para descobertas médias, altas e críticas. Para obter mais informações, consulte Níveis de gravidade das descobertas.

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      Ao terminar, escolha Avançar.

6. Opção A – selecionar AWS service (Serviço da AWS) – AWS Lambda como destino

   Na página Selecionar destino(s), faça o seguinte:

   1. Para Tipos de destino, selecione AWS service (Serviço da AWS).

   2. Para Selecionar um destino, escolha Função do Lambda. Em seguida, para Função, selecione a função do Lambda para a qual deseja enviar eventos de descoberta.

   3. Para Configurar versão/alias, insira as configurações de versão ou alias para a função do Lambda de destino.

   4. (Opcional) Para Configurações adicionais, insira configurações personalizadas para especificar quais dados de eventos você deseja enviar para a função do Lambda. Você também pode especificar como lidar com eventos que não são entregues à função com sucesso.

   5. Ao terminar, escolha Avançar.

7. Opção B – selecionar tópico do SNS como destino

   Na página Selecionar destino(s), faça o seguinte:

   1. Para Tipos de destino, selecione AWS service (Serviço da AWS).

   2. Em Select a target (Selecionar um destino), escolha SNS topic (Tópico do SNS). Em seguida, para Localização de destino, selecione a opção adequada com base na sua localização de destino. Em Tópico, escolha o nome do tópico do SNS criado.

   3. Expanda Additional settings (Configurações adicionais). Em Configurar entrada do destino, escolha Transformador de entrada.

   4. Escolha Configurar o transformador de entrada.

   5. Copie o código a seguir e cole-o no campo Caminho de entrada na seção Transformador de entrada de destino.

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. Copie o código a seguir e cole-o no campo Modelo para formatar o e-mail.

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. Na página Configurar tags, insira opcionalmente uma ou mais tags a serem atribuídas à regra. Escolha Próximo.

9. Na página Revisar e criar, analise as configurações da regra e verifique se estão corretas.

   Para alterar uma configuração, selecione Editar para a configuração e insira a configuração correta. Você também pode usar as guias de navegação para acessar a página que contém uma configuração.

10. Quando terminar de verificar as configurações, selecione Criar regra.

Para criar uma regra e um destino

1. Para criar uma regra que habilite o EventBridge para enviar eventos para todas as descobertas geradas pelo GuardDuty, execute o seguinte comando da CLI do EventBridge.

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   Você pode personalizar ainda mais sua regra para que ela instrua o EventBridge a enviar eventos somente para um subconjunto das descobertas geradas pelo GuardDuty. Esse subconjunto é baseado no atributo ou nos atributos da descoberta especificado(s) na regra. Por exemplo, use o seguinte comando da CLI para criar uma regra que permita que o EventBridge envie apenas eventos para as descobertas do GuardDuty com uma gravidade de 5 ou 8:

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Para isso, você pode usar qualquer um dos valores de propriedade disponíveis no JSON para as descobertas do GuardDuty.

2. Para anexar uma função do Lambda como destino para a regra que você criou na etapa 1, execute o seguinte comando da CLI do CloudWatch.

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   Substitua your-target-name no comando acima pela sua função do Lambda real para os eventos do GuardDuty.

3. Para adicionar as permissões necessárias para invocar o destino, execute o seguinte comando da CLI do Lambda.

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   Substitua your_function no comando acima pela sua função do Lambda real para os eventos do GuardDuty.