创建自定义响应GuardDuty亚马逊的发现CloudWatch事件 - Amazon GuardDuty
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异,请参阅中国的 Amazon Web Services 服务入门

本文属于机器翻译版本。若本译文内容与英语原文存在差异,则一律以英文原文为准。

创建自定义响应GuardDuty亚马逊的发现CloudWatch事件

GuardDuty创建事件亚马逊CloudWatch事件当调查结果中发生任何变化时。查找将创建 CloudWatch 事件的更改,包括新生成的调查结果或新聚合的调查结果。尽最大努力发出事件。

向每个 GuardDuty 结果分配一个结果 ID。GuardDuty创建CloudWatch带唯一结果 ID 的每个结果的事件。现有调查结果的所有后续实例都会聚合到原始调查结果中。

注意

如果你的账户是GuardDuty委托管理员CloudWatch除了来源的成员账户外,活动还会发布到您的账户。

使用CloudWatch活动GuardDuty,您可以自动执行任务,帮助您对发生的安全问题作出响应。GuardDuty发现结果。

为了接收有关的通知GuardDuty基于发现结果CloudWatch事件,您必须创建CloudWatch活动规则和目标GuardDuty. 此规则启用CloudWatch发送发现结果的通知GuardDuty生成到在规则中指定的目标。有关更多信息,请参阅 创建CloudWatch活动规则和目标GuardDuty(CLI)

CloudWatch对于的事件通知频率GuardDuty

带有唯一结果 ID 的新生成调查结果的通知–GuardDuty根据其发送通知CloudWatch发现后 5 分钟内的事件。此事件 (和此通知) 还包括在生成带唯一 ID 的此结果后前 5 分钟内发生的此结果的所有后续匹配项。

重要

您无法自定义发送有关新生成的调查结果的通知的默认频率(5 分钟)。

后续查找事件的通知— 默认情况下,对于带唯一结果 ID 的每个结果,GuardDuty将在 6 小时时间间隔内发生的某个特定结果的所有后续匹配项聚合到单个事件中。然后,GuardDuty 基于此事件发送有关这些后续匹配项的通知。换言之,默认情况下,对于现有调查结果的后续匹配项,GuardDuty 将基于 CloudWatch 事件每 6 个小时发送通知。

重要

您可以自定义发送有关后续调查结果匹配项的通知的默认频率。可能的值为 15 分钟、1 小时或 6 小时(默认值)。您可以使用更新此值CreateDetector或者UpdateDetectorAPI 操作。您还可以通过 GuardDuty 控制台更新此值 – 选择 Settings (设置),然后在 CloudWatch Events (CloudWatch 事件) 下,从 Updated findings (已更新调查结果) 下拉菜单中选择可用值。

只有管理员帐户中的用户可以自定义发送有关后续调查结果匹配项的通知的默认频率。CloudWatch事件。成员账户中的用户无法自定义此频率值。管理员账户在自己的账户中设置的频率值将强加到GuardDuty其所有成员账户中的功能。换句话说,如果管理员帐户中的用户将此频率值设置为 1 小时,则对于所有成员账户,发送有关后续调查结果匹配项的通知也将是 1 小时的频率。CloudWatch事件。有关更多信息,请参阅 在 Amazon GuardDuty 中管理多个账户 Amazon与 GuardDuty 的服务集成

监控归档GuardDuty使用的结果CloudWatch事件

对于手动存档的调查结果,初始调查结果和这些调查结果的所有后续匹配项(存档完成后生成)将被发送到CloudWatch上面描述的每个频率的事件。

对于自动存档的调查结果,初始调查结果和这些调查结果的所有后续匹配项(存档完成后生成)将是发送到CloudWatch事件。

CloudWatch的事件格式GuardDuty

这些区域有:CloudWatch 事件为了GuardDuty具有以下格式。

{ "version": "0", "id": "cd2d702e-ab31-411b-9344-793ce56b1bc7", "detail-type": "GuardDuty Finding", "source": "aws.guardduty", "account": "111122223333", "time": "1970-01-01T00:00:00Z", "region": "us-east-1", "resources": [], "detail": {GUARDDUTY_FINDING_JSON_OBJECT} }
注意

详细信息值将单个查找结果的 JSON 详细信息作为对象返回,而不是返回可以支持数组中多个查找结果的 “调查结果” 值。

有关在 GUARDDUTY_FINDING_JSON_OBJECT 中包括的所有参数的完整列表,请参阅 GetFindings。在 GUARDDUTY_FINDING_JSON_OBJECT 中显示的 id 参数是之前介绍的调查结果 ID。

创建CloudWatch通知你的活动规则GuardDuty发现结果(控制台)

您可以使用CloudWatch使用的事件GuardDuty通过发送设置自动查找警报GuardDuty向消息中心查找活动,以帮助提高GuardDuty发现结果。本主题向您展示如何通过设置 SNS 主题然后将该主题关联到电子邮件、Slack 或 Amazon Chime 发送调查结果警报CloudWatch事件事件规则。

设置 Amazon SNS 主题和终端节点

首先,您必须在 Amazon Simple 通知服务中设置主题,然后添加终端节点。有关的更多信息,请参阅SNS 指南.

此过程将确定要发送到的位置。GuardDuty查找数据。SNS 主题可以添加到CloudWatch事件事件规则创建期间或之后的事件规则。

Email setup

创建 SNS 主题

  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home.

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在 “创建主题” 部分中,选择标准. 下一步,输入主题名称,例如GuardDuty_to_Email. 其他详细信息是可选的。

  4. 选择 Create Topic。此时系统会打开新主题的主题详细信息。

  5. 在“Subscriptions (订阅)”部分中,选择 Create Subscription (创建订阅)

    1. Protocol (协议) 菜单中,选择 Email (电子邮件)

    2. Endpoint (终端节点) 字段中,添加您想要用于接收通知的电子邮件地址。

      注意

      创建后,您需要通过电子邮件客户端确认订阅。

    3. 选择创建订阅

  6. 在收件箱中查收订阅消息,然后选择 Confirm Subscription (确认订阅)

Slack setup

创建 SNS 主题

  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home.

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在 “创建主题” 部分中,选择标准. 下一步,输入主题名称,例如GuardDuty_to_Slack. 其他详细信息是可选的。选择创建主题以最后敲定。

配置Amazon Chatbot客户

  1. 导航到Amazon Chatbot控制台

  2. 配置客户端面板中,选择配置新的客户端.

  3. 选择 Slack 并使用 “配置” 进行确认。

    注意

    选择 Slack 时,您必须确认Amazon Chatbot通过选择 “允许” 访问频道。

  4. Select配置新通道以打开配置详细信息窗格。

    1. 输入通道的名称。

    2. 对于 Slack 频道,选择要使用的通道。使用私人 Slack 频道Amazon Chatbot中,选择私人频道。

    3. 在 Slack 中,右键单击频道名称并选择复制链接来复制私人频道的频道 ID。

    4. 在存储库的Amazon管理控制台,在Amazon Chatbot窗口中,将您从 slack 中复制的 ID 粘贴到私人频道 ID 字段中。

    5. InPermissions (权限),如果您还没有角色,则选择使用模板创建 IAM 角色。

    6. 适用于策略选择模板,选择 Notification permissions (通 这是适用于的 IAM 策略模板Amazon Chatbot. 它提供了必要的读取和列出权限CloudWatch警报、事件和日志以及 Amazon SNS 主题。

    7. 选择您之前在其中创建 SNS 主题的区域,然后选择您为向 Slack 频道发送通知而创建的 Amazon SNS 主题。

  5. 选择 Configure (配置)

Chime setup

创建 SNS 主题

  1. 登录 Amazon SNS 控制台:https://console.aws.amazon.com/sns/v3/home.

  2. 从导航窗格中选择 Topics (主题),然后选择 Create Topic (创建主题)

  3. 在 “创建主题” 部分中,选择标准. 下一步,输入主题名称,例如GuardDuty_to_Chime. 其他详细信息是可选的。选择创建主题以最后敲定。

配置Amazon Chatbot客户

  1. 导航到Amazon Chatbot控制台

  2. 配置客户端面板中,选择配置新的客户端.

  3. 选择 Chime 并使用 “配置” 进行确认。

  4. 配置详细信息窗格中,输入通道的名称。

  5. 在 Chime 中打开所需的聊天室

    1. 选择右上角的齿轮图标,然后选择 Manage webhooks and bots (管理 Webhook 和自动程序)

    2. Select复制 URL将 Webhook URL 复制到剪贴板。

  6. 在存储库的Amazon管理控制台,在Amazon Chatbot窗口中,将复制的 URL 粘贴到Webhook URL字段中返回的子位置类型。

  7. InPermissions (权限),如果您还没有角色,则选择使用模板创建 IAM 角色。

  8. 适用于策略选择模板,选择 Notification permissions (通 这是适用于的 IAM 策略模板Amazon Chatbot. 它提供了必要的读取和列出权限CloudWatch警报、事件和日志以及 Amazon SNS 主题。

  9. 选择您之前在其中创建 SNS 主题的区域,然后选择您为向 Chime 房间发送通知而创建的 Amazon SNS 主题。

  10. 选择 Configure (配置)

设置CloudWatch对于的事件GuardDuty发现

  1. 打开 CloudWatch 控制台 (https://console.aws.amazon.com/cloudwatch/)。

  2. 从导航窗格中选择 Rules (规则),然后选择 Create Rule (创建规则)

  3. 服务名称菜单中,选择GuardDuty.

  4. 事件类型菜单中,选择GuardDuty查找.

  5. Event Pattern Preview (事件模式预览) 中,选择 Edit (编辑)

  6. 将下面的 JSON 代码粘贴到 Event Pattern Preview (事件模式预览) 中,然后选择 Save (保存)

    { "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "severity": [ 4, 4.0, 4.1, 4.2, 4.3, 4.4, 4.5, 4.6, 4.7, 4.8, 4.9, 5, 5.0, 5.1, 5.2, 5.3, 5.4, 5.5, 5.6, 5.7, 5.8, 5.9, 6, 6.0, 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7, 6.8, 6.9, 7, 7.0, 7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 8, 8.0, 8.1, 8.2, 8.3, 8.4, 8.5, 8.6, 8.7, 8.8, 8.9 ] } }
    注意

    上面的代码将对任何中到高严重性调查结果发出提醒。

  7. Targets (目标) 部分,单击 Add Target (添加目标)

  8. Select Targets (选择目标) 菜单中,选择 SNS Topic (SNS 主题)

  9. 对于 Select Topic (选择主题),请选择您在步骤 1 中创建的 SNS 主题的名称。

  10. 配置事件的输入。

    • 如果您正在为 Chime 或 Slack 设置通知跳至步骤 11,则输入类型默认为匹配的事件.

    • 如果您要通过 SNS 设置电子邮件通知,请按照以下步骤按照以下步骤自定义发送到收件箱的邮件,请按照以下步骤操作:

    1. 展开 Configure input (配置输入),然后选择 Input Transformer (输入转换器)

    2. 复制以下代码并将其粘贴到 Input Path (输入路径) 字段中。

      { "severity": "$.detail.severity", "Account_ID": "$.detail.accountId", "Finding_ID": "$.detail.id", "Finding_Type": "$.detail.type", "region": "$.region", "Finding_description": "$.detail.description" }
    3. 复制以下代码并将其粘贴到 Input Template (输入模板) 字段中,以便格式化电子邮件。

      "Amazon <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region." "Finding Description:" "<Finding_description>. " "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"
  11. 单击 Configure Details (配置详细信息)

  12. Configure rule details (配置规则详细信息) 页面中,输入规则的 Name (名称)Description (描述),然后选择 Create Rule (创建规则)

创建CloudWatch活动规则和目标GuardDuty(CLI)

以下步骤演示如何使用:Amazon CLI命令来创建CloudWatch活动规则和目标GuardDuty. 具体而言,该过程向您演示如何创建规则,该规则允许 CloudWatch 为 GuardDuty 生成的所有调查结果发送事件,并将 Amazon Lambda 函数作为规则的目标添加。

注意

除了 Lambda 函数之外,GuardDuty和CloudWatch支持以下目标类型:Amazon EC2 实例、Amazon Kinesis 流、Amazon ECS 任务、Amazon Step Functions状态机,run命令和内置目标。

您也可以创建CloudWatch活动规则和目标GuardDuty通过CloudWatch活动控制台。有关更多信息和详细步骤,请参阅创建CloudWatch对事件触发的事件规则. 在事件源部分,选择GuardDuty为了Service name (服务名称)GuardDuty Finding为了事件类型.

创建规则和目标

  1. 要创建允许 CloudWatch 为 GuardDuty 生成的所有调查结果发送事件的规则,请运行以下 CloudWatch CLI 命令。

    Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

    重要

    您可以进一步自定义您的规则,以便它指示 CloudWatch 仅针对 GuardDuty 生成的一部分调查结果发送事件。此部分基于规则中指定的一个或多个结果属性。例如,使用以下 CLI 命令创建一个规则,该规则使 CloudWatch 能够仅针对严重性为 5 或 8 的 GuardDuty 调查结果发送事件:

    Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

    为此,您可以对 GuardDuty 调查结果使用 JSON 中可用的任何属性值。

  2. 要将 Lambda 函数作为在步骤 1 中创建的规则的目标,请运行以下命令:CloudWatchCLI 命令。

    Amazon events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

    注意

    确保将<your_function>上述命令中的实际 Lambda 函数替换为GuardDuty事件.

  3. 要添加调用目标所需的权限,请运行以下 Lambda CLI 命令。

    Amazon lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

    注意

    确保将<your_function>上述命令中的实际 Lambda 函数替换为GuardDuty事件.

    注意

    在上述过程中,我们使用 Lambda 函数作为触发规则的目标。CloudWatch事件。您也可以配置其他Amazon将资源作为目标CloudWatch事件。有关更多信息,请参阅 。PutTargets.

CloudWatch适用于 的 事件GuardDuty多账户环境

作为GuardDuty管理员CloudWatch您账户中的活动规则将根据您的会员账户中的适用调查结果触发。这意味着如果你通过设置查找通知CloudWatch如上一节所述,管理员帐户中的事件除了自己账户外,还会收到会员账户生成的高度和中等严重性调查结果的通知。

你可以识别会员账户GuardDuty发现源于accountId查找结果的 JSON 详细信息字段。

要在控制台中开始为环境中的特定成员账户编写自定义事件规则,请创建一个新规则并将以下模板粘贴到事件模式预览中,同时添加要触发该事件的成员账户的账户 ID。

{ "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "accountId": [ "123456789012" ] } }
注意

此示例将触发所列账户 ID 的任何调查结果。可以添加多个 ID,在 JSON 语法之后用逗号分隔。