使用 Amazon 处理 GuardDuty 调查结果 EventBridge

1. 对于主题 ARN，请使用在步骤中创建的主题 ARN。Create an Amazon SNS topicARN 主题与以下内容类似：

   arn:aws:sns:us-east-2:123456789012:your_topic

2. 对于协议，请选择电子邮件。

3. 在 En d point 中，输入您想要接收来自 Amazon SNS 的通知的电子邮件地址。

   创建订阅后，您需要通过电子邮件客户端进行确认。

使用控制台创建事件规则

1. 登录 Amazon Web Services Management Console 并打开 Amazon EventBridge 控制台，网址为https://console.aws.amazon.com/events/。

2. 在导航窗格中的总线下，选择规则。

3. 在规则部分中，选择创建规则。

4. 在定义规则详细信息页面上，执行以下操作：

   1. 对于名称，输入规则的名称。

   2. （可选）对于描述，输入规则的简要描述。

   3. 对于事件总线，请确保选择默认值，以及在选定的事件总线上启用该规则已开启。

   4. 对于规则类型，选择具有事件模式的规则。

   5. 完成后，选择 Next (下一步)。

5. 在构建事件模式页面上，执行以下操作：

   1. 对于事件来源，选择Amazon 事件或 EventBridge 合作伙伴事件。

   2. （可选）对于示例事件，请查看的示例查找事件 GuardDuty 以了解事件可能包含的内容。为此，请选择 Amazon 事件。然后，对于 “示例事件”，选择 “GuardDuty查找”。

   3. 选项 1-使用模式表单，即 EventBridge 提供以下内容的模板

      在事件模式部分，您可以执行以下操作：

      1. 在 “创建方法” 中，选择 “使用模式表单”。

      2. 对于事件源，选择 Amazon Web Services 服务。

      3. 对于 Amazon Web Services 服务，选择 GuardDuty。

      4. 对于 “事件类型”，选择 “GuardDuty 查找”。

      完成后，选择 Next (下一步)。

   4. 选项 2-在 JSON 中使用自定义事件模式

      在事件模式部分，您可以执行以下操作：

      1. 在 “创建方法” 中，选择 “自定义模式（JSON 编辑器）”。

      2. 对于事件模式，粘贴以下自定义 JSON，该自定义 JSON 将针对中、高和关键发现创建警报。有关更多信息，请参阅 调查发现的严重性级别。

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      完成后，选择 Next (下一步)。

6. 选项 A-选择 Amazon Web Services 服务 - Amazon Lambda 作为目标

   在 “选择目标” 页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择目标），选择 Lambda function（Lambda 函数）。然后，对于函数，选择您要将调查发现发送到的 Lambda 函数。

   3. 在配置版本/别名中，输入目标 Lambda 函数的版本或别名设置。

   4. （可选）对于其他设置，输入自定义设置以指定要向 Lambda 函数发送哪些事件数据。您还可以指定如何处理未成功传递到函数的事件。

   5. 完成后，选择 Next (下一步)。

7. 选项 B-选择 SNS 主题作为目标

   在 “选择目标” 页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择一个目标），选择 SNS topic（SNS 主题）。然后，在 “目标位置” 中，根据您的目标位置选择合适的选项。在 “主题” 中，选择您创建的 SNS 主题的名称。

   3. 展开其他设置。对于配置目标输入，选择输入变压器。

   4. 选择 Configure input transformer（配置输入转换器）。

   5. 复制以下代码并将其粘贴到 “目标输入变压器” 部分下的 “输入路径” 字段中。

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. 复制以下代码并将其粘贴到 “模板” 字段中以格式化电子邮件。

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. 在配置标签页面上，可以选择输入要分配给规则的一个或多个标签。然后选择下一步。

9. 在查看并创建页面上，查看规则的设置并验证它们是否正确。

   要更改设置，选择包含该设置的部分中的编辑，然后输入正确的设置。您也可以使用导航选项卡转到包含设置的页面。

10. 在输入完验证设置后，请选择创建规则。

创建规则和目标

1. 要创建允许为 GuardDuty生成的所有发现发送事件的规则，请运行 EventBridge 以下 EventBridge CLI 命令。

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   您可以进一步自定义规则， EventBridge 使其指示仅针对 GuardDuty生成的结果的子集发送事件。该子集基于规则中指定的一个或多个调查发现属性。例如，使用以下 CLI 命令创建一条规则， EventBridge 允许仅针对严重性为 5 或 8 的 GuardDuty 发现发送事件：

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   为此，您可以使用 JSON 中可用的任何属性值来查找 GuardDuty 结果。

2. 要附加 Lambda 函数作为您在步骤 1 中创建的规则的目标，请运行以下 CL CloudWatch I 命令。

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   请务必将上述命令your-target-name中的事件替换为实际的 Lambda 函数。 GuardDuty

3. 要添加调用目标所需的权限，请运行以下 Lambda CLI 命令。

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   请务必将上述命令your_function中的事件替换为实际的 Lambda 函数。 GuardDuty