与亚马逊一起处理 GuardDuty 调查结果 EventBridge

1. 对于主题 ARN，请使用在 Create an Amazon SNS topic 步骤中创建的主题 ARN。主题 ARM 类似于以下内容：

   arn:aws:sns:us-east-2:123456789012:your_topic

2. 对于协议，请选择电子邮件。

3. 对于端点，输入您要从 Amazon SNS 接收通知的电子邮件地址。

   创建订阅后，您需要通过电子邮件客户端确认订阅。

使用控制台创建事件规则

1. 登录 Amazon Web Services 管理控制台 并打开亚马逊 EventBridge 控制台，网址为https://console.aws.amazon.com/events/。

2. 在导航窗格中的总线下，选择规则。

3. 在规则部分中，选择创建规则。

4. 在定义规则详细信息页面上，执行以下操作：

   1. 对于名称，输入规则的名称。

   2. （可选）对于描述，输入规则的简要描述。

   3. 对于事件总线，请确保选择默认值，以及在选定的事件总线上启用该规则已开启。

   4. 对于规则类型，选择具有事件模式的规则。

   5. 完成后，选择 Next (下一步)。

5. 在构建事件模式页面上，执行以下操作：

   1. 对于事件来源，选择Amazon 活动或 EventBridge 合作伙伴事件。

   2. （可选）对于示例事件，查看示例查找事件 GuardDuty 以了解该事件可能包含的内容。为此，请选择 Amazon 事件。然后，对于示例事件，选择GuardDuty查找。

   3. 选项 1-使用模式表单，该模板 EventBridge 提供

      在事件模式部分中，执行以下操作：

      1. 对于创建方法，选择使用模式表单。

      2. 对于事件源，选择 Amazon Web Services 服务。

      3. 对于 Amazon Web Services 服务，选择 GuardDuty。

      4. 对于 “事件类型”，选择 “GuardDuty 查找” 。

      完成后，选择 Next (下一步)。

   4. 选项 2：使用 JSON 格式的自定义事件模式

      在事件模式部分中，执行以下操作：

      1. 对于创建方法，选择自定义模式（JSON 编辑器）。

      2. 对于事件模式，粘贴以下自定义 JSON，该自定义 JSON 将针对中、高和重大严重程度的调查发现创建警报。有关更多信息，请参阅 调查发现的严重性级别。

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      完成后，选择 Next (下一步)。

6. 选项 A-选择 Amazon Web Services 服务 - Amazon Lambda 作为目标

   在选择目标页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择目标），选择 Lambda function（Lambda 函数）。然后，对于函数，选择您要将调查发现发送到的 Lambda 函数。

   3. 对于配置 version/alias，输入目标 Lambda 函数的版本或别名设置。

   4. （可选）对于其他设置，输入自定义设置以指定要向 Lambda 函数发送哪些事件数据。您还可以指定如何处理未成功传递到函数的事件。

   5. 完成后，选择 Next (下一步)。

7. 选项 B：选择 SNS 主题作为目标

   在选择目标页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择一个目标），选择 SNS topic（SNS 主题）。然后，对于目标位置，根据您的目标位置选择合适的选项。对于主题，选择您创建的 SNS 主题名称。

   3. 展开其他设置。对于配置目标输入，选择输入转换器。

   4. 选择 Configure input transformer（配置输入转换器）。

   5. 复制以下代码并粘贴到目标输入转换器部分的输入路径字段中。

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_Description": "$.detail.description"
      }

   6. 复制以下代码并粘贴到模板字段中，以便格式化电子邮件。

      
      {"message":"You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region.\n\nFinding Description:\n<Finding_Description>.\n\nFor more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"}
                                  

      重要

      将模板作为单行 JSON 对象提供，将消息封装在密钥中message，如前面的示例所示，并用于\n添加换行符。 GuardDuty 查找诸如description可以包含未转义的控制字符（包括换行符）之类的字段。如果您以裸引号字符串形式提供模板，或者将此类字段放入多行模板（在不同的行中使用单独的引号字符串的模板），则替换值会生成无效的 JSON，从而 EventBridge 导致拒绝事件并无法传送通知。

8. 在配置标签页面上，可以选择输入要分配给规则的一个或多个标签。然后选择下一步。

9. 在查看并创建页面上，查看规则的设置并验证它们是否正确。

   要更改设置，选择包含该设置的部分中的编辑，然后输入正确的设置。您也可以使用导航选项卡转到包含设置的页面。

10. 在输入完验证设置后，请选择创建规则。

创建规则和目标

1. 要创建允许为 GuardDuty生成的所有发现发送事件的规则，请运行 EventBridge 以下 EventBridge CLI 命令。

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   您可以进一步自定义规则， EventBridge 使其指示仅针对部分发现发送事件。 GuardDuty-generated 该子集基于规则中指定的一个或多个调查发现属性。例如，使用以下 CLI 命令创建规则，该规则仅 EventBridge 允许针对严重性为 5 或 8 的 GuardDuty 发现结果发送事件：

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   为此，您可以将 JSON 中可用的任何属性值用于 GuardDuty 查找结果。

2. 要将 Lambda 函数作为您在步骤 1 中创建的规则的目标，请运行以下 CloudWatch CLI 命令。

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   请务必将上述命令your-target-name中的 GuardDuty 事件替换为您的实际 Lambda 函数。

3. 要添加调用目标所需的权限，请运行以下 Lambda CLI 命令。

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   请务必将上述命令your_function中的 GuardDuty 事件替换为您的实际 Lambda 函数。