创建自定义响应GuardDuty亚马逊的发现CloudWatch事件

1. 打开 CloudWatch 控制台 (https://console.aws.amazon.com/cloudwatch/)。

2. 从导航窗格中选择 Rules (规则)，然后选择 Create Rule (创建规则)。

3. 从服务名称菜单中，选择GuardDuty.

4. 从事件类型菜单中，选择GuardDuty查找.

5. 在 Event Pattern Preview (事件模式预览) 中，选择 Edit (编辑)。

6. 将下面的 JSON 代码粘贴到 Event Pattern Preview (事件模式预览) 中，然后选择 Save (保存)

   {
     "source": [
       "aws.guardduty"
     ],
     "detail-type": [
       "GuardDuty Finding"
     ],
     "detail": {
       "severity": [
         4,
         4.0,
         4.1,
         4.2,
         4.3,
         4.4,
         4.5,
         4.6,
         4.7,
         4.8,
         4.9,
         5,
         5.0,
         5.1,
         5.2,
         5.3,
         5.4,
         5.5,
         5.6,
         5.7,
         5.8,
         5.9,
         6,
         6.0,
         6.1,
         6.2,
         6.3,
         6.4,
         6.5,
         6.6,
         6.7,
         6.8,
         6.9,
         7,
         7.0,
         7.1,
         7.2,
         7.3,
         7.4,
         7.5,
         7.6,
         7.7,
         7.8,
         7.9,
         8,
         8.0,
         8.1,
         8.2,
         8.3,
         8.4,
         8.5,
         8.6,
         8.7,
         8.8,
         8.9
       ]
     }
   }

   注意

   上面的代码将对任何中到高严重性调查结果发出提醒。

7. 在 Targets (目标) 部分，单击 Add Target (添加目标)。

8. 从 Select Targets (选择目标) 菜单中，选择 SNS Topic (SNS 主题)。

9. 对于 Select Topic (选择主题)，请选择您在步骤 1 中创建的 SNS 主题的名称。

10. 配置事件的输入。

    • 如果您正在为 Chime 或 Slack 设置通知跳至步骤 11，则输入类型默认为匹配的事件.

    • 如果您要通过 SNS 设置电子邮件通知，请按照以下步骤按照以下步骤自定义发送到收件箱的邮件，请按照以下步骤操作：

    1. 展开 Configure input (配置输入)，然后选择 Input Transformer (输入转换器)。

    2. 复制以下代码并将其粘贴到 Input Path (输入路径) 字段中。

       
       {
           "severity": "$.detail.severity",
           "Account_ID": "$.detail.accountId",
           "Finding_ID": "$.detail.id",
           "Finding_Type": "$.detail.type",
           "region": "$.region",
           "Finding_description": "$.detail.description"
       }
                                   

    3. 复制以下代码并将其粘贴到 Input Template (输入模板) 字段中，以便格式化电子邮件。

       
       "Amazon <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
       "Finding Description:"
       "<Finding_description>. "
       "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"
                                   

11. 单击 Configure Details (配置详细信息)。

12. 在 Configure rule details (配置规则详细信息) 页面中，输入规则的 Name (名称) 和 Description (描述)，然后选择 Create Rule (创建规则)。

创建规则和目标

1. 要创建允许 CloudWatch 为 GuardDuty 生成的所有调查结果发送事件的规则，请运行以下 CloudWatch CLI 命令。

   Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   重要

   您可以进一步自定义您的规则，以便它指示 CloudWatch 仅针对 GuardDuty 生成的一部分调查结果发送事件。此部分基于规则中指定的一个或多个结果属性。例如，使用以下 CLI 命令创建一个规则，该规则使 CloudWatch 能够仅针对严重性为 5 或 8 的 GuardDuty 调查结果发送事件：

   Amazon events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   为此，您可以对 GuardDuty 调查结果使用 JSON 中可用的任何属性值。

2. 要将 Lambda 函数作为在步骤 1 中创建的规则的目标，请运行以下命令：CloudWatchCLI 命令。

   Amazon events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

   注意

   确保将<your_function>上述命令中的实际 Lambda 函数替换为GuardDuty事件.

3. 要添加调用目标所需的权限，请运行以下 Lambda CLI 命令。

   Amazon lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   注意

   确保将<your_function>上述命令中的实际 Lambda 函数替换为GuardDuty事件.

   注意

   在上述过程中，我们使用 Lambda 函数作为触发规则的目标。CloudWatch事件。您也可以配置其他Amazon将资源作为目标CloudWatch事件。有关更多信息，请参阅 。PutTargets.