Detalles del evento de alerta de DNS Firewall Detalles del evento de bloqueo de DNS Firewall

Referencia detallada de eventos de Route 53 Resolver DNS Firewall

Todos los eventos de los AWS servicios tienen un conjunto común de campos que contienen metadatos sobre el evento, como el AWS servicio que lo origina, la hora en que se generó el evento, la cuenta y la región en las que tuvo lugar el evento, etc. Para ver las definiciones de estos campos generales, consulte Referencia de estructura de eventos en la Guía del usuario de Amazon EventBridge .

Además, cada evento tiene un campo detail que contiene datos específicos de ese evento en particular. La siguiente referencia define los campos de detalle de los distintos eventos del firewall de DNS.

Cuando se utilice EventBridge para seleccionar y administrar eventos del firewall de DNS, es útil tener en cuenta lo siguiente:

El source campo para todos los eventos del Firewall de DNS está establecido enaws.route53resolver.
El campo detail-type especifica el tipo de evento.

Por ejemplo, DNS Firewall Block o DNS Firewall Alert.
El campo detail contiene los datos específicos de ese evento en particular.

Para obtener información sobre cómo crear patrones de eventos que permitan que las reglas coincidan con los eventos del firewall de DNS, consulte los patrones de eventos en la Guía del Amazon EventBridge usuario.

Para obtener más información sobre los eventos y cómo EventBridge los procesa, consulte Amazon EventBridge los eventos en la Guía del Amazon EventBridge usuario.

Temas

Detalles del evento de alerta de DNS Firewall
Detalles del evento de bloqueo de DNS Firewall

Detalles del evento de alerta de DNS Firewall

A continuación se muestran los campos de detalle del evento de estado de alerta.

Los detail-type campos source y se incluyen porque contienen valores específicos para los eventos de Route 53.


{...,
 "detail-type": "DNS Firewall Alert",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifica el tipo de evento.

Para este evento, este valor esDNS Firewall Alert.

source

Identifica el servicio que generó el evento. Para los eventos de firewall de DNS, este valor esaws.route53resolver.

detail

Un objeto JSON que contiene información sobre el evento. El servicio que genera el evento determina el contenido de este campo.

Para este evento, estos datos incluyen:

account-id: El ID de la persona Cuenta de AWS que creó la VPC.
last-observed-at: La marca de tiempo del momento en que se realizó la consulta de alerta/bloqueo en la VPC.
query-name: El nombre de dominio (example.com) o nombre del subdominio (www.example.com) que se especificó en la consulta.
query-type: El tipo de registro DNS que se especificó en la solicitud o CUALQUIERA. Para obtener información acerca de los tipos que admite Route 53, consulte Tipos de registros de DNS admitidos.
query-class: La clase de consulta.
transport: El protocolo utilizado para enviar la consulta de DNS.
firewall-rule-action: La acción especificada por la regla que coincidió con el nombre de dominio de la consulta. ALERT o BLOCK.
firewall-rule-group-id: El ID del grupo de reglas de DNS Firewall de que coincidió con el nombre de dominio de la consulta. Para obtener más información sobre los grupos de reglas de firewall, consulte DNS FirewallReglas y grupos de reglas de DNS Firewall.
firewall-domain-list-id: La lista de dominios utilizada por la regla que coincidió con el nombre de dominio de la consulta.
resourcese: Contiene los tipos de recursos y detalles adicionales sobre ellos.
resource-type: Especifica el tipo de recurso, como un punto final de resolución o una instancia de VPC.
resource-type-detail: Detalles adicionales sobre el recurso.

ejemplo Evento de alerta de DNS Firewall

El siguiente es un ejemplo de evento de alerta.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Alert",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "ALERT",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0",
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0"
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Detalles del evento de bloqueo de DNS Firewall

A continuación se muestran los campos de detalle del nombre del evento.

Los detail-type campos source y se incluyen porque contienen valores específicos para los eventos de Route 53.


{...,
 "detail-type": "DNS Firewall Block",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]

detail-type

Identifica el tipo de evento.

Para este evento, este valor esDNS Firewall Alert.

source

Identifica el servicio que generó el evento. Para los eventos de firewall de DNS, este valor esaws.route53resolver.

detail

Un objeto JSON que contiene información sobre el evento. El servicio que genera el evento determina el contenido de este campo.

Para este evento, estos datos incluyen:

account-id: El ID de la persona Cuenta de AWS que creó la VPC.
last-observed-at: La marca de tiempo del momento en que se realizó la consulta de alerta/bloqueo en la VPC.
query-name: El nombre de dominio (example.com) o nombre del subdominio (www.example.com) que se especificó en la consulta.
query-type: El tipo de registro DNS que se especificó en la solicitud o CUALQUIERA. Para obtener información acerca de los tipos que admite Route 53, consulte Tipos de registros de DNS admitidos.
query-class: La clase de consulta.
transport: El protocolo utilizado para enviar la consulta de DNS.
firewall-rule-action: La acción especificada por la regla que coincidió con el nombre de dominio de la consulta. ALERT o BLOCK.
firewall-rule-group-id: El ID del grupo de reglas de DNS Firewall de que coincidió con el nombre de dominio de la consulta. Para obtener más información sobre los grupos de reglas de firewall, consulte DNS FirewallReglas y grupos de reglas de DNS Firewall.
firewall-domain-list-id: La lista de dominios utilizada por la regla que coincidió con el nombre de dominio de la consulta.
resourcese: Contiene los tipos de recursos y detalles adicionales sobre ellos.
resource-type: Especifica el tipo de recurso, como un punto final de resolución o una instancia de VPC.
resource-type-detail: Detalles adicionales sobre el recurso.

ejemplo Evento de ejemplo

A continuación se muestra un ejemplo de evento de bloque.


{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Block",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "BLOCK",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0"
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0",
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

Aviso JavaScript está desactivado o no está disponible en su navegador.

Para utilizar la documentación de AWS, debe estar habilitado JavaScript. Para obtener más información, consulte las páginas de ayuda de su navegador.

Convenciones del documento

Administrar los eventos del firewall de DNS mediante EventBridge

Registrar llamadas a la API de Amazon Route 53 con AWS CloudTrail