Einzelheiten zum Ereignis der DNS-Firewall-Warnung Einzelheiten zum DNS-Firewall-Blockereignis

Detailreferenz zu Route-53-Resolver-DNS-Firewall-Ereignissen

Alle Ereignisse von AWS Diensten haben einen gemeinsamen Satz von Feldern, die Metadaten zu dem Ereignis enthalten, z. B. den AWS Dienst, der die Quelle des Ereignisses darstellt, den Zeitpunkt, zu dem das Ereignis generiert wurde, das Konto und die Region, in der das Ereignis stattgefunden hat, und andere. Definitionen dieser allgemeinen Felder finden Sie unter Referenz zur Ereignisstruktur im Amazon EventBridge Benutzerhandbuch.

Darüber hinaus weist jedes Ereignis ein detail-Feld auf, das spezifische Daten für das betreffende Ereignis enthält. In der folgenden Referenz werden die Detailfelder für die verschiedenen DNS-Firewall-Ereignisse definiert.

Bei der EventBridge Auswahl und Verwaltung von DNS-Firewall-Ereignissen ist es hilfreich, Folgendes zu beachten:

Das source Feld für alle Ereignisse der DNS-Firewall ist auf gesetztaws.route53resolver.
Das Feld detail-type gibt den Ereignistyp an.

Zum Beispiel DNS Firewall Block oder DNS Firewall Alert.
Das Feld detail enthält die Daten, die für das betreffende Ereignis spezifisch sind.

Informationen zur Erstellung von Ereignismustern, die es Regeln ermöglichen, DNS-Firewall-Ereignissen zu entsprechen, finden Sie unter Ereignismuster im Amazon EventBridge Benutzerhandbuch.

Weitere Informationen zu Ereignissen und deren EventBridge Verarbeitung finden Sie im Amazon EventBridge Benutzerhandbuch unter Amazon EventBridge Ereignisse.

Themen

Einzelheiten zum Ereignis der DNS-Firewall-Warnung
Einzelheiten zum DNS-Firewall-Blockereignis

Einzelheiten zum Ereignis der DNS-Firewall-Warnung

Im Folgenden finden Sie die Detailfelder für Details zum Warnstatus-Ereignis.

Die detail-type Felder source und sind enthalten, da sie spezifische Werte für Route 53-Ereignisse enthalten.


{...,
 "detail-type": "DNS Firewall Alert",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifiziert den Ereignistyp.

Für dieses Ereignis ist dieser WertDNS Firewall Alert.

source

Identifiziert den Service, aus dem das Ereignis stammt. Für DNS-Firewall-Ereignisse ist dieser Wertaws.route53resolver.

detail

Ein JSON-Objekt, das Informationen zum Ereignis enthält. Der Service, der das Ereignis generiert, bestimmt den Inhalt dieses Feldes.

Für dieses Ereignis beinhalten diese Daten:

account-id: Die ID desjenigen AWS-Konto , der die VPC erstellt hat.
last-observed-at: Der Zeitstempel, zu dem die Alert/Block-Abfrage in der VPC gestellt wurde.
query-name: Der Domainnamen (example.com) oder Subdomainname (www.example.com), der in der Abfrage angegeben wurde.
query-type: Entweder der DNS-Eintragstyp, der in der Anfrage angegeben wurde, oder ANY. Informationen zu den von Route 53 unterstützten Typen finden Sie unter Unterstützte DNS-Datensatztypen.
query-class: Die ID der Abfrage.
transport: Das Protokoll, das zum Senden der DNS-Abfrage verwendet wird.
firewall-rule-action: Die Aktion, die von der Regel angegeben wurde, die dem Domainnamen in der Abfrage entspricht. Entweder ALERT oder BLOCK.
firewall-rule-group-id: Die ID des DNS-Firewall-Regelgruppe, die dem Domainnamen in der Abfrage entspricht. Weitere Informationen zu den Firewall-Regelgruppen finden Sie unter DNS-FirewallDNS-Firewall-Regelgruppen und -Regeln.
firewall-domain-list-id: Die Domainliste, die von der Regel verwendet wurde, die dem Domainnamen in der Abfrage entspricht.
resourcese: Enthält Ressourcentypen und zusätzliche Informationen zu ihnen.
resource-type: Gibt den Ressourcentyp an, z. B. den Resolver-Endpunkt oder eine VPC-Instanz.
resource-type-detail: Zusätzliche Details zur Ressource.

Beispiel DNS-Firewall-Alarmereignis

Im Folgenden finden Sie ein Beispiel für ein Alarmereignis.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Alert",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "ALERT",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0",
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0"
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Einzelheiten zum DNS-Firewall-Blockereignis

Im Folgenden finden Sie die Detailfelder für den Ereignisnamen.

Die detail-type Felder source und sind enthalten, da sie spezifische Werte für Route 53-Ereignisse enthalten.


{...,
 "detail-type": "DNS Firewall Block",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifiziert den Ereignistyp.

Für dieses Ereignis ist dieser WertDNS Firewall Alert.

source

Identifiziert den Service, aus dem das Ereignis stammt. Für DNS-Firewall-Ereignisse ist dieser Wertaws.route53resolver.

detail

Ein JSON-Objekt, das Informationen zum Ereignis enthält. Der Service, der das Ereignis generiert, bestimmt den Inhalt dieses Feldes.

Für dieses Ereignis beinhalten diese Daten:

account-id: Die ID desjenigen AWS-Konto , der die VPC erstellt hat.
last-observed-at: Der Zeitstempel, zu dem die Alert/Block-Abfrage in der VPC gestellt wurde.
query-name: Der Domainnamen (example.com) oder Subdomainname (www.example.com), der in der Abfrage angegeben wurde.
query-type: Entweder der DNS-Eintragstyp, der in der Anfrage angegeben wurde, oder ANY. Informationen zu den von Route 53 unterstützten Typen finden Sie unter Unterstützte DNS-Datensatztypen.
query-class: Die ID der Abfrage.
transport: Das Protokoll, das zum Senden der DNS-Abfrage verwendet wird.
firewall-rule-action: Die Aktion, die von der Regel angegeben wurde, die dem Domainnamen in der Abfrage entspricht. Entweder ALERT oder BLOCK.
firewall-rule-group-id: Die ID des DNS-Firewall-Regelgruppe, die dem Domainnamen in der Abfrage entspricht. Weitere Informationen zu den Firewall-Regelgruppen finden Sie unter DNS-FirewallDNS-Firewall-Regelgruppen und -Regeln.
firewall-domain-list-id: Die Domainliste, die von der Regel verwendet wurde, die dem Domainnamen in der Abfrage entspricht.
resourcese: Enthält Ressourcentypen und zusätzliche Informationen zu ihnen.
resource-type: Gibt den Ressourcentyp an, z. B. den Resolver-Endpunkt oder eine VPC-Instanz.
resource-type-detail: Zusätzliche Details zur Ressource.

Beispielereignis

Im Folgenden finden Sie ein Beispiel für ein Blockereignis.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Block",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "BLOCK",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0"
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0",
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Warnung JavaScript ist in Ihrem Browser nicht verfügbar oder deaktiviert.

Zur Nutzung der AWS-Dokumentation muss JavaScript aktiviert sein. Weitere Informationen finden auf den Hilfe-Seiten Ihres Browsers.

Dokumentkonventionen

Verwaltung von DNS-Firewall-Ereignissen mit EventBridge

Protokollieren von Amazon Route 53-API-Aufrufen mit AWS CloudTrail