使用 Amazon CloudWatch Events 创建对 GuardDuty 调查结果的自定义响应 - Amazon GuardDuty
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅 中国的 Amazon Web Services 服务入门 (PDF)

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

使用 Amazon CloudWatch Events 创建对 GuardDuty 调查结果的自定义响应

GuardDuty 当调查结果发生任何变化时,会为 Amazon Events 创建 CloudWatch 事件。将创建 CloudWatch 事件的查找更改包括新生成的调查结果或新汇总的调查结果。尽最大努力发出事件。

每个 GuardDuty 发现都被分配了一个查找 ID。 GuardDuty 使用唯一的查找 ID 为每个发现创建一个 CloudWatch 事件。现有调查发现的所有后续实例都会聚合到原始调查发现中。有关更多信息,请参阅 GuardDuty 调查结果聚合

注意

如果您的账户是 GuardDuty 委托管理员,则 CloudWatch 事件将发布到您的账户以及生成调查结果的成员账户。

通过将 CloudWatch 事件与配合使用 GuardDuty,您可以自动执行任务,以帮助您应对 GuardDuty 调查结果所揭示的安全问题。

要接收有关基于 CloudWatch 事件的 GuardDuty 发现的通知,您必须为创建 CloudWatch 事件规则和目标 GuardDuty。通过此规则 CloudWatch ,可以将 GuardDuty 生成的结果通知发送到规则中指定的目标。有关更多信息,请参阅 为 GuardDuty (CLI) 创建 CloudWatch 事件规则和目标

CloudWatch 的事件通知频率 GuardDuty

具有唯一调查发现 ID 的新生成调查发现的通知

GuardDuty 在发现后的 5 分钟内根据其 CloudWatch 事件发送通知。此事件(和此通知)还包括此调查发现的所有后续事件,这些事件在具有唯一 ID 的调查发现生成后 5 分钟内发生。

注意

默认情况下,有关新生成的调查发现的通知频率为 5 分钟。此频率无法更新。

后续调查发现事件的通知

默认情况下,对于每个具有唯一查找结果 ID 的查找结果, GuardDuty 会将在 6 小时间隔内发生的特定查找类型的所有后续事件聚合到一个事件中。 GuardDuty 然后根据此事件发送有关这些后续事件的通知。默认情况下,对于后续出现的现有调查结果, GuardDuty 会每 6 小时根据 CloudWatch 事件发送一次通知。

只有管理员帐户帐户可以自定义发送有关事件后续发现事件的通知的默认频率。 CloudWatch 成员账户中的用户无法自定义此频率。管理员账户在其自己的账户中设置的频率值适用于其所有成员账户的 GuardDuty功能。如果管理员帐户帐户中的用户将此频率值设置为 1 小时,则所有成员帐户也将有 1 小时的频率接收有关后续发现事件的通知。有关更多信息,请参阅 在 Amazon 中管理多个账户 GuardDuty

注意

作为管理员帐户,您可以自定义有关后续查找事件的默认通知频率。可能的值为 15 分钟、1 小时或 6 小时(默认值)。有关设置通知频率的信息,请参阅 设置导出更新的活动调查发现的频率

使用 “ CloudWatch 事件” 监控存档的 GuardDuty调查结果

对于手动存档的调查结果,这些发现的初次和所有后续出现的结果(存档完成后生成)将按上述频率发送到 “ CloudWatch 事件”。

对于自动存档的查找结果,这些发现的初次和所有后续出现的结果(存档完成后生成)不会发送到 Events。 CloudWatch

CloudWatch 的事件格式 GuardDuty

CloudWatch 的事件 GuardDuty 采用以下格式。

{ "version": "0", "id": "cd2d702e-ab31-411b-9344-793ce56b1bc7", "detail-type": "GuardDuty Finding", "source": "aws.guardduty", "account": "111122223333", "time": "1970-01-01T00:00:00Z", "region": "us-east-1", "resources": [], "detail": {GUARDDUTY_FINDING_JSON_OBJECT} }
注意

“detail”值将单个调查发现的 JSON 详细信息作为对象返回,而不是返回“findings”值,后者可以支持数组中的多个调查发现。

有关在 GUARDDUTY_FINDING_JSON_OBJECT 中包括的所有参数的完整列表,请参阅 GetFindings。在 GUARDDUTY_FINDING_JSON_OBJECT 中显示的 id 参数是之前介绍的调查发现 ID。

创建 CloudWatch 事件规则以通知您 GuardDuty 发现的结果(控制台)

您可以 GuardDuty 将 CloudWatch 事件与一起使用,通过将查找事件发送到消息中心来设置自动 GuardDuty查找警报,以帮助提高 GuardDuty 发现结果的可见性。本主题向您展示如何通过设置 SNS 主题然后将该主题与事件规则关联来向电子邮件、Slack 或 Amazon Chime 发送调查结果提醒。 CloudWatch

设置 Amazon SNS 主题和端点

首先,您必须在 Amazon Simple Notification Service 中设置一个主题并添加一个端点。有关更多信息,请参阅《Amazon Simple Notification Service 开发人员指南》中的入门

此过程用于确定要将 GuardDuty 查找数据发送到何处。在创建 CloudWatch 事件规则期间或之后,可以将 SNS 主题添加到事件规则中。

Email setup
创建 SNS 主题
  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在创建主题部分,选择标准。接下来,输入主题名称,例如 GuardDuty_to_Email。其他详细信息是可选的。

  4. 选择创建主题。此时系统会打开新主题的主题详细信息。

  5. 在“Subscriptions (订阅)”部分中,选择 Create Subscription (创建订阅)

    1. 协议菜单中选择电子邮件

    2. Endpoint (终端节点) 字段中,添加您想要用于接收通知的电子邮件地址。

      注意

      创建后,您需要通过电子邮件客户端确认订阅。

    3. 选择创建订阅

  6. 在收件箱中查收订阅消息,然后选择 Confirm Subscription (确认订阅)

Slack setup
创建 SNS 主题
  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在创建主题部分,选择标准。接下来,输入主题名称,例如 GuardDuty_to_Slack。其他详细信息是可选的。选择创建主题以完成。

配置 Amazon Chatbot 客户端
  1. 导航到 Amazon Chatbot 控制台

  2. 配置的客户端面板中,选择配置新客户端

  3. 选择 Slack 并单击“配置”进行确认。

    注意

    选择 Slack 时,您必须选择“允许”以确认 Amazon Chatbot 访问通道的权限。

  4. 选择配置新通道以打开配置详细信息窗格。

    1. 输入通道的名称。

    2. 对于 Slack 通道,选择您要使用的通道。要将私有 Slack 通道与 Amazon Chatbot 结合使用,请选择私有通道。

    3. 在 Slack 中,右键单击通道名称并选择“复制链接”来复制私有通道的通道 ID。

    4. 在 Amazon 管理控制台的 Amazon Chatbot 窗口中,将从 slack 复制的 ID 粘贴到私有通道 ID 字段。

    5. 权限中,如果您还没有角色,请选择使用模板创建 IAM 角色。

    6. 对于策略模板,选择“通知”权限。这是 Amazon Chatbot 的 IAM policy 模板。它为 CloudWatch 警报、事件和日志以及 Amazon SNS 主题提供了必要的读取和列出权限。

    7. 选择您之前在其中创建 SNS 主题的区域,然后选择您创建的用于向 Slack 通道发送通知的 Amazon SNS 主题。

  5. 选择配置

Chime setup
创建 SNS 主题
  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在创建主题部分,选择标准。接下来,输入主题名称,例如 GuardDuty_to_Chime。其他详细信息是可选的。选择创建主题以完成。

配置 Amazon Chatbot 客户端
  1. 导航到 Amazon Chatbot 控制台

  2. 配置的客户端面板中,选择配置新客户端

  3. 选择 Chime 并单击“配置”进行确认。

  4. 配置详细信息窗格中,输入通道的名称。

  5. 在 Chime 中打开所需的聊天室

    1. 选择右上角的齿轮图标,然后选择管理 Webhook 和自动程序

    2. 选择复制 URL 以将 Webhook URL 复制到剪贴板。

  6. 在 Amazon 管理控制台的 Amazon Chatbot 窗口中,将复制的 URL 粘贴到 Webhook URL 字段。

  7. 权限中,如果您还没有角色,请选择使用模板创建 IAM 角色。

  8. 对于策略模板,选择“通知”权限。这是 Amazon Chatbot 的 IAM policy 模板。它为 CloudWatch 警报、事件和日志以及 Amazon SNS 主题提供了必要的读取和列出权限。

  9. 选择您之前在其中创建 SNS 主题的区域,然后选择您创建的用于向 Chime 聊天室发送通知的 Amazon SNS 主题。

  10. 选择配置

为 GuardDuty调查结果设置一个 CloudWatch 事件

  1. 打开 CloudWatch 控制台,网址为 https://console.aws.amazon.com/cloudwatch/

  2. 从导航窗格中选择 Rules (规则),然后选择 Create Rule (创建规则)

  3. 从 “服务名称” 菜单中选择GuardDuty

  4. 从 “事件类型” 菜单中选择 “GuardDuty查找”。

  5. Event Pattern Preview (事件模式预览) 中,选择 Edit (编辑)

  6. 将下面的 JSON 代码粘贴到 Event Pattern Preview (事件模式预览) 中,然后选择 Save (保存)

    { "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "severity": [ 4, 4.0, 4.1, 4.2, 4.3, 4.4, 4.5, 4.6, 4.7, 4.8, 4.9, 5, 5.0, 5.1, 5.2, 5.3, 5.4, 5.5, 5.6, 5.7, 5.8, 5.9, 6, 6.0, 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7, 6.8, 6.9, 7, 7.0, 7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 8, 8.0, 8.1, 8.2, 8.3, 8.4, 8.5, 8.6, 8.7, 8.8, 8.9 ] } }
    注意

    上面的代码将对任何中到高严重性调查发现发出提醒。

  7. Targets (目标) 部分,单击 Add Target (添加目标)

  8. Select Targets (选择目标) 菜单中,选择 SNS Topic (SNS 主题)

  9. 对于 Select Topic (选择主题),请选择您在步骤 1 中创建的 SNS 主题的名称。

  10. 配置事件的输入。

    • 如果您要为 Chime 或 Slack 设置通知,请跳到步骤 11,则输入类型默认为匹配事件

    • 如果您要通过 SNS 设置电子邮件通知,请按照以下步骤自定义发送到收件箱的消息:

    1. 展开 Configure input (配置输入),然后选择 Input Transformer (输入转换器)

    2. 复制以下代码并将其粘贴到 Input Path (输入路径) 字段中。

      { "severity": "$.detail.severity", "Account_ID": "$.detail.accountId", "Finding_ID": "$.detail.id", "Finding_Type": "$.detail.type", "region": "$.region", "Finding_description": "$.detail.description" }
    3. 复制以下代码并将其粘贴到 Input Template (输入模板) 字段中,以便格式化电子邮件。

      "Amazon <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region." "Finding Description:" "<Finding_description>. " "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
  11. 单击 Configure Details (配置详细信息)

  12. Configure rule details (配置规则详细信息) 页面中,输入规则的 Name (名称)Description (描述),然后选择 Create Rule (创建规则)

为 GuardDuty (CLI) 创建 CloudWatch 事件规则和目标

以下过程说明如何使用Amazon CLI命令为其创建 CloudWatch 事件规则和目标 GuardDuty。具体而言,该过程向您展示了如何创建一个规则,该规则 CloudWatch 允许为 GuardDuty 生成的所有发现发送事件,并添加一个Amazon Lambda函数作为规则的目标。

注意

除了 Lambda 函数外,还 CloudWatch 支持以下目标类型:亚马逊 EC2 实例、Amazon Kinesis 直播、亚马逊 ECS 任务Amazon Step Functions、状态机、run命令 GuardDuty 和内置目标。

您也可以 GuardDuty 通过 CloudWatch 事件控制台为其创建 CloudWatch 事件规则和目标。有关更多信息和详细步骤,请参阅创建在 CloudWatch 事件上触发的事件规则。在事件源部分,对于服务名称,选择 GuardDuty;对于事件类型,选择 GuardDuty Finding

创建规则和目标
  1. 要创建允许为 GuardDuty生成的所有发现发送事件的规则,请运行 CloudWatch 以下 CloudWatch CLI 命令。

    Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

    重要

    您可以进一步自定义规则, CloudWatch 使其指示仅针对 GuardDuty生成的结果的子集发送事件。该子集基于规则中指定的一个或多个调查发现属性。例如,使用以下 CLI 命令创建一条规则, CloudWatch 允许仅针对严重性为 5 或 8 的 GuardDuty 发现发送事件:

    Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

    为此,您可以使用 JSON 中可用的任何属性值来查找 GuardDuty 结果。

  2. 要附加 Lambda 函数作为您在步骤 1 中创建的规则的目标,请运行以下 CL CloudWatch I 命令。

    Amazon events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

    注意

    请务必将<your_function>上述命令中的事件替换为实际的 Lambda 函数。 GuardDuty

  3. 要添加调用目标所需的权限,请运行以下 Lambda CLI 命令。

    Amazon lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

    注意

    请务必将<your_function>上述命令中的事件替换为实际的 Lambda 函数。 GuardDuty

    注意

    在上面的步骤中,我们使用 Lambda 函数作为触发 CloudWatch 事件的规则的目标。您也可以将其他Amazon资源配置为触发 CloudWatch 事件的目标。有关更多信息,请参阅 PutTargets

CloudWatch GuardDuty 多账户环境的事件

作为 GuardDuty 管理员,您的账户中的 CloudWatch 事件规则将根据您的成员账户的适用发现触发。这意味着,如果您通过管理员账户中的 “ CloudWatch 事件” 设置查找通知(如上一节所述),则除了您自己的调查结果外,您还会收到由您的成员账户生成的高严重性和中等严重性调查结果的通知。

您可以使用 GuardDuty 查找结果的 JSON 详细信息accountId字段来标识搜索结果的来源成员账户。

要开始在控制台中为环境中的特定成员账户编写自定义事件规则,请创建新规则,并将以下模板粘贴到“事件模式预览”中,同时添加要触发事件的成员账户的账户 ID。

{ "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "accountId": [ "123456789012" ] } }
注意

此示例将在列出的账户 ID 的任何调查发现上触发。可添加多个 ID,按照 JSON 语法用逗号分隔。