使用 Amazon EventBridge 处理 GuardDuty 调查发现

1. 对于主题 ARN，请使用在 Create an Amazon SNS topic 步骤中创建的主题 ARN。主题 ARM 类似于以下内容：

   arn:aws:sns:us-east-2:123456789012:your_topic

2. 对于协议，请选择电子邮件。

3. 对于端点，输入您要从 Amazon SNS 接收通知的电子邮件地址。

   创建订阅后，您需要通过电子邮件客户端确认订阅。

使用控制台创建事件规则

1. 登录 Amazon Web Services 管理控制台并打开 Amazon EventBridge 控制台 (https://console.aws.amazon.com/events/)。

2. 在导航窗格中的总线下，选择规则。

3. 在规则部分中，选择创建规则。

4. 在定义规则详细信息页面上，执行以下操作：

   1. 对于名称，输入规则的名称。

   2. （可选）对于描述，输入规则的简要描述。

   3. 对于事件总线，请确保选择默认值，以及在选定的事件总线上启用该规则已开启。

   4. 对于规则类型，选择具有事件模式的规则。

   5. 完成后，选择 Next (下一步)。

5. 在构建事件模式页面上，执行以下操作：

   1. 对于事件源，选择 Amazon 事件或 EventBridge 合作伙伴事件。

   2. （可选）对于示例事件，请查看 GuardDuty 的示例调查发现事件，以了解事件可能包含的内容。为此，请选择 Amazon 事件。对于示例事件，选择 GuardDuty 调查发现。

   3. 选项 1：使用模式表单，这是 EventBridge 提供的模板

      在事件模式部分中，执行以下操作：

      1. 对于创建方法，选择使用模式表单。

      2. 对于事件源，选择 Amazon Web Services 服务。

      3. 对于 Amazon Web Services 服务，选择 GuardDuty。

      4. 对于事件类型，选择 GuardDuty 调查发现。

      完成后，选择 Next (下一步)。

   4. 选项 2：使用 JSON 格式的自定义事件模式

      在事件模式部分中，执行以下操作：

      1. 对于创建方法，选择自定义模式（JSON 编辑器）。

      2. 对于事件模式，粘贴以下自定义 JSON，该自定义 JSON 将针对中、高和重大严重程度的调查发现创建警报。有关更多信息，请参阅 调查发现的严重性级别。

         {
           "source": [
             "aws.guardduty"
           ],
           "detail-type": [
             "GuardDuty Finding"
           ],
           "detail": {
             "severity": [
               4,
               4.0,
               4.1,
               4.2,
               4.3,
               4.4,
               4.5,
               4.6,
               4.7,
               4.8,
               4.9,
               5,
               5.0,
               5.1,
               5.2,
               5.3,
               5.4,
               5.5,
               5.6,
               5.7,
               5.8,
               5.9,
               6,
               6.0,
               6.1,
               6.2,
               6.3,
               6.4,
               6.5,
               6.6,
               6.7,
               6.8,
               6.9,
               7,
               7.0,
               7.1,
               7.2,
               7.3,
               7.4,
               7.5,
               7.6,
               7.7,
               7.8,
               7.9,
               8,
               8.0,
               8.1,
               8.2,
               8.3,
               8.4,
               8.5,
               8.6,
               8.7,
               8.8,
               8.9,
               9,
               9.0,
               9.1,
               9.2,
               9.3,
               9.4,
               9.5,
               9.6,
               9.7,
               9.8,
               9.9,
               10,
               10.0
             ]
           }
         }

      完成后，选择 Next (下一步)。

6. 选项 A：选择 Amazon Web Services 服务 – Amazon Lambda 作为目标

   在选择目标页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择目标），选择 Lambda function（Lambda 函数）。然后，对于函数，选择您要将调查发现发送到的 Lambda 函数。

   3. 对于配置版本/别名，输入目标 Lambda 函数的版本或别名设置。

   4. （可选）对于其他设置，输入自定义设置以指定要向 Lambda 函数发送哪些事件数据。您还可以指定如何处理未成功传递到函数的事件。

   5. 完成后，选择 Next (下一步)。

7. 选项 B：选择 SNS 主题作为目标

   在选择目标页面上，执行以下操作：

   1. 对于目标类型，选择 Amazon Web Services 服务。

   2. 对于 Select a target（选择一个目标），选择 SNS topic（SNS 主题）。然后，对于目标位置，根据您的目标位置选择合适的选项。对于主题，选择您创建的 SNS 主题名称。

   3. 展开其他设置。对于配置目标输入，选择输入转换器。

   4. 选择 Configure input transformer（配置输入转换器）。

   5. 复制以下代码并粘贴到目标输入转换器部分的输入路径字段中。

      {
          "severity": "$.detail.severity",
          "Account_ID": "$.detail.accountId",
          "Finding_ID": "$.detail.id",
          "Finding_Type": "$.detail.type",
          "region": "$.region",
          "Finding_description": "$.detail.description"
      }

   6. 复制以下代码并粘贴到模板字段中，以便格式化电子邮件。

      
      "You have a severity <severity> GuardDuty finding type <Finding_Type> in the <region> Region."
      "Finding Description:"
      "<Finding_description>. "
      "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                  

8. 在配置标签页面上，可以选择输入要分配给规则的一个或多个标签。然后选择下一步。

9. 在查看并创建页面上，查看规则的设置并验证它们是否正确。

   要更改设置，选择包含该设置的部分中的编辑，然后输入正确的设置。您也可以使用导航选项卡转到包含设置的页面。

10. 在输入完验证设置后，请选择创建规则。

创建规则和目标

1. 要创建允许 EventBridge 发送 GuardDuty 生成的所有调查发现事件的规则，请运行以下 EventBridge CLI 命令。

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   您可以进一步自定义规则，使其指示 EventBridge 仅发送 GuardDuty 生成的调查发现子集的事件。该子集基于规则中指定的一个或多个调查发现属性。例如，使用以下 CLI 命令创建一条规则，使 EventBridge 仅发送严重性为 5 或 8 的 GuardDuty 调查发现的事件：

   aws events put-rule --name your-rule-name --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   为此，您可以对 GuardDuty 调查发现使用 JSON 中可用的任何属性值。

2. 要附加一个 Lambda 函数作为您在步骤 1 中创建的规则的目标，请运行以下 CloudWatch CLI 命令。

   aws events put-targets --rule your-target-name --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:your_function

   确保将上述命令中的 your-target-name 替换为 GuardDuty 事件的实际 Lambda 函数。

3. 要添加调用目标所需的权限，请运行以下 Lambda CLI 命令。

   aws lambda add-permission --function-name your-target-name --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   确保将上述命令中的 your_function 替换为 GuardDuty 事件的实际 Lambda 函数。