使用 Amazon CloudWatch Events 创建对 GuardDuty 调查结果的自定义响应

1. 打开 CloudWatch 控制台，网址为https://console.aws.amazon.com/cloudwatch/。

2. 从导航窗格中选择 Rules (规则)，然后选择 Create Rule (创建规则)。

3. 从 “服务名称” 菜单中选择GuardDuty。

4. 从 “事件类型” 菜单中选择 “GuardDuty查找”。

5. 在 Event Pattern Preview (事件模式预览) 中，选择 Edit (编辑)。

6. 将下面的 JSON 代码粘贴到 Event Pattern Preview (事件模式预览) 中，然后选择 Save (保存)

   {
     "source": [
       "aws.guardduty"
     ],
     "detail-type": [
       "GuardDuty Finding"
     ],
     "detail": {
       "severity": [
         4,
         4.0,
         4.1,
         4.2,
         4.3,
         4.4,
         4.5,
         4.6,
         4.7,
         4.8,
         4.9,
         5,
         5.0,
         5.1,
         5.2,
         5.3,
         5.4,
         5.5,
         5.6,
         5.7,
         5.8,
         5.9,
         6,
         6.0,
         6.1,
         6.2,
         6.3,
         6.4,
         6.5,
         6.6,
         6.7,
         6.8,
         6.9,
         7,
         7.0,
         7.1,
         7.2,
         7.3,
         7.4,
         7.5,
         7.6,
         7.7,
         7.8,
         7.9,
         8,
         8.0,
         8.1,
         8.2,
         8.3,
         8.4,
         8.5,
         8.6,
         8.7,
         8.8,
         8.9,
         9,
         9.1,
         9.2,
         9.3,
         9.4,
         9.5,
         9.6,
         9.7,
         9.8,
         9.9,
         10
       ]
     }
   }

   注意

   上面的代码将提醒任何中等到临界的发现。有关严重性值范围的信息，请参见调查发现的严重性级别。

7. 在 Targets (目标) 部分，单击 Add Target (添加目标)。

8. 从 Select Targets (选择目标) 菜单中，选择 SNS Topic (SNS 主题)。

9. 对于 Select Topic (选择主题)，请选择您在步骤 1 中创建的 SNS 主题的名称。

10. 配置事件的输入。

    • 如果您要为 Chime 或 Slack 设置通知，请跳到步骤 11，则输入类型默认为匹配事件。

    • 如果您要通过 SNS 设置电子邮件通知，请按照以下步骤自定义发送到收件箱的消息：

    1. 展开 Configure input (配置输入)，然后选择 Input Transformer (输入转换器)。

    2. 复制以下代码并将其粘贴到 Input Path (输入路径) 字段中。

       
       {
           "severity": "$.detail.severity",
           "Account_ID": "$.detail.accountId",
           "Finding_ID": "$.detail.id",
           "Finding_Type": "$.detail.type",
           "region": "$.region",
           "Finding_description": "$.detail.description"
       }
                                   

    3. 复制以下代码并将其粘贴到 Input Template (输入模板) 字段中，以便格式化电子邮件。

       
       "Amazon <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
       "Finding Description:"
       "<Finding_description>. "
       "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                   

11. 单击 Configure Details (配置详细信息)。

12. 在 Configure rule details (配置规则详细信息) 页面中，输入规则的 Name (名称) 和 Description (描述)，然后选择 Create Rule (创建规则)。

创建规则和目标

1. 要创建允许为 GuardDuty生成的所有发现发送事件的规则，请运行 CloudWatch 以下 CloudWatch CLI 命令。

   Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   重要

   您可以进一步自定义规则， CloudWatch 使其指示仅针对 GuardDuty生成的结果的子集发送事件。该子集基于规则中指定的一个或多个调查发现属性。例如，使用以下 CLI 命令创建一条规则， CloudWatch 允许仅针对严重性为 5 或 8 的 GuardDuty 发现发送事件：

   Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   为此，您可以使用 JSON 中可用的任何属性值来查找 GuardDuty 结果。

2. 要附加 Lambda 函数作为您在步骤 1 中创建的规则的目标，请运行以下 CL CloudWatch I 命令。

   Amazon events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

   注意

   请务必将<your_function>上述命令中的事件替换为实际的 Lambda 函数。 GuardDuty

3. 要添加调用目标所需的权限，请运行以下 Lambda CLI 命令。

   Amazon lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   注意

   请务必将<your_function>上述命令中的事件替换为实际的 Lambda 函数。 GuardDuty

   注意

   在上面的步骤中，我们使用 Lambda 函数作为触发 CloudWatch 事件的规则的目标。您也可以将其他 Amazon 资源配置为触发 CloudWatch 事件的目标。有关更多信息，请参阅 PutTargets.