Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Création de réponses personnalisées aux GuardDuty résultats avec Amazon CloudWatch Events
GuardDuty crée un événement pour Amazon CloudWatch Events en cas de modification des résultats. Les modifications susceptibles de créer un CloudWatch événement incluent des résultats récemment générés ou des résultats récemment agrégés. Les événements sont générés dans la mesure du possible.
Un identifiant de GuardDuty recherche est attribué à chaque découverte. GuardDuty crée un CloudWatch événement pour chaque découverte avec un identifiant de recherche unique. Toutes les occurrences ultérieures d'une constatation existante sont regroupées avec les conclusions initiales. Pour plus d’informations, consultez GuardDuty recherche d'une agrégation.
Note
Si votre compte est un administrateur GuardDuty délégué, les CloudWatch événements sont publiés sur votre compte ainsi que sur le compte du membre où le résultat a été généré.
En utilisant CloudWatch des événements avec GuardDuty, vous pouvez automatiser les tâches pour vous aider à répondre aux problèmes de sécurité révélés par GuardDuty les résultats.
Pour recevoir des notifications concernant les GuardDuty résultats basés sur les CloudWatch événements, vous devez créer une règle d' CloudWatch événements et une cible pour GuardDuty. Cette règle permet CloudWatch d'envoyer des notifications pour les résultats GuardDuty générés à la cible spécifiée dans la règle. Pour plus d’informations, consultez Création d'une règle d' CloudWatch événements et d'une cible pour GuardDuty (CLI).
Rubriques
- CloudWatch Fréquence de notification des événements pour GuardDuty
- CloudWatch format d'événement pour GuardDuty
- Création d'une règle d' CloudWatch événements pour vous informer des GuardDuty résultats (console)
- Création d'une règle d' CloudWatch événements et d'une cible pour GuardDuty (CLI)
- CloudWatch Événements pour les GuardDuty environnements multi-comptes
CloudWatch Fréquence de notification des événements pour GuardDuty
- Notifications pour les résultats nouvellement générés avec un ID de résultat unique
GuardDuty envoie une notification en fonction de son CloudWatch événement dans les 5 minutes suivant la découverte. Cet événement (et cette notification) inclut également toutes les occurrences ultérieures de ce résultat qui surviennent dans les 5 minutes suivant la génération de ce résultat avec un ID unique.
Note
Par défaut, la fréquence des notifications concernant les nouveaux résultats est de 5 minutes. Cette fréquence ne peut pas être mise à jour.
- Notifications pour les occurrences de résultat ultérieures
Par défaut, pour chaque résultat doté d'un identifiant de recherche unique, GuardDuty regroupe en un seul événement toutes les occurrences ultérieures d'un type de recherche particulier qui se produisent dans les intervalles de 6 heures. GuardDuty envoie ensuite une notification concernant ces occurrences ultérieures en fonction de cet événement. Par défaut, pour les occurrences ultérieures des résultats existants, GuardDuty envoie des notifications en fonction des CloudWatch événements toutes les 6 heures.
Seul un compte administrateur peut personnaliser la fréquence par défaut des notifications envoyées concernant les occurrences ou les CloudWatch événements de recherche ultérieurs. Les utilisateurs de comptes membres ne peuvent pas personnaliser cette fréquence. La valeur de fréquence définie par le compte administrateur dans son propre compte est imposée aux GuardDuty fonctionnalités de tous ses comptes membres. Si un utilisateur d'un compte administrateur définit cette valeur de fréquence sur 1 heure, tous les comptes membres auront également la fréquence d'une heure pour recevoir des notifications concernant les occurrences de recherche ultérieures. Pour plus d’informations, consultez Gérer plusieurs comptes sur Amazon GuardDuty.
Note
En tant que compte administrateur, vous pouvez personnaliser la fréquence par défaut des notifications concernant les occurrences de recherche ultérieures. Les valeurs possibles sont 15 minutes, 1 heure ou, par défaut, 6 heures. Pour plus d'informations sur la configuration de la fréquence de ces notifications, veuillez consulter Étape 5 — Définition de la fréquence d'exportation des résultats actifs mis à jour.
Surveillance des GuardDuty résultats archivés grâce aux CloudWatch événements
Pour les résultats archivés manuellement, les occurrences initiales et suivantes de ces résultats (générées une fois l'archivage terminé) sont envoyées à CloudWatch Events selon la fréquence décrite ci-dessus.
Pour les résultats archivés automatiquement, les occurrences initiales et suivantes de ces résultats (générées une fois l'archivage terminé) ne sont pas envoyées à CloudWatch Events.
CloudWatch format d'événement pour GuardDuty
L' CloudWatch événement pour GuardDuty a le format suivant.
{ "version": "0", "id": "cd2d702e-ab31-411b-9344-793ce56b1bc7", "detail-type": "GuardDuty Finding", "source": "aws.guardduty", "account": "111122223333", "time": "1970-01-01T00:00:00Z", "region": "us-east-1", "resources": [], "detail": {GUARDDUTY_FINDING_JSON_OBJECT} }
Note
La valeur de détail renvoie les détails JSON d'un seul résultat sous forme d'objet, au lieu de renvoyer la valeur « résultats » qui peut prendre en charge plusieurs résultats au sein d'une matrice.
Pour obtenir la liste complète de tous les paramètres inclus dans GUARDDUTY_FINDING_JSON_OBJECT
, consultez GetFindings. Le paramètre id
qui apparaît dans GUARDDUTY_FINDING_JSON_OBJECT
est l'ID du résultat décrit précédemment.
Création d'une règle d' CloudWatch événements pour vous informer des GuardDuty résultats (console)
Vous pouvez utiliser CloudWatch Events with GuardDuty pour configurer des alertes de recherche automatisées en envoyant les événements de GuardDuty recherche à un hub de messagerie afin d'accroître la visibilité des GuardDuty résultats. Cette rubrique explique comment envoyer des alertes de résultats par e-mail, Slack ou Amazon Chime en configurant une rubrique SNS, puis en connectant cette rubrique à CloudWatch une règle d'événement d'événements.
Configurer une rubrique Amazon SNS et un point de terminaison
Pour commencer, vous devez d'abord configurer une rubrique dans Amazon Simple Notification Service et ajouter un point de terminaison. Pour en savoir plus, veuillez consulter Mise en route dans le Guide du développeur Amazon Simple Notification Service.
Cette procédure définit l'endroit où vous souhaitez envoyer les données de GuardDuty recherche. Le sujet SNS peut être ajouté à une règle d' CloudWatch événement pendant ou après la création de la règle d'événement.
Configurez un CloudWatch événement pour les GuardDuty résultats
-
Ouvrez la CloudWatch console à l'adresse https://console.aws.amazon.com/cloudwatch/
. -
Sélectionnez Règles dans le panneau de navigation, puis Créer une règle.
-
Dans le menu Nom du service, choisissez GuardDuty.
-
Dans le menu Type d'événement, choisissez GuardDutyRechercher.
-
En regard de Aperçu du modèle d'événement, choisissez Modifier.
-
Collez le code JSON ci-dessous dans l'Aperçu du modèle d'événement, puis choisissez Enregistrer.
{ "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "severity": [ 4, 4.0, 4.1, 4.2, 4.3, 4.4, 4.5, 4.6, 4.7, 4.8, 4.9, 5, 5.0, 5.1, 5.2, 5.3, 5.4, 5.5, 5.6, 5.7, 5.8, 5.9, 6, 6.0, 6.1, 6.2, 6.3, 6.4, 6.5, 6.6, 6.7, 6.8, 6.9, 7, 7.0, 7.1, 7.2, 7.3, 7.4, 7.5, 7.6, 7.7, 7.8, 7.9, 8, 8.0, 8.1, 8.2, 8.3, 8.4, 8.5, 8.6, 8.7, 8.8, 8.9 ] } }
Note
Le code ci-dessus alertera pour toute recherche de Moyenne à Élevée.
-
Dans la section Cibles, cliquez sur Ajouter une cible.
-
Dans le menu Sélectionner des cibles, choisissez Rubrique SNS.
-
Pour Sélectionner une rubrique, sélectionnez le nom de la rubrique SNS que vous avez créée à l'étape 1.
-
Configurez l'entrée pour l'événement.
-
Si vous configurez les notifications pour Chime ou Slack, passez à l'étape 11, le type de saisie passe par défaut à Événement correspondant.
-
Si vous configurez les notifications par e-mail via SNS, suivez les étapes ci-dessous pour personnaliser le message envoyé dans votre boîte de réception en procédant comme suit :
-
Développez Configurer l'entrée, puis choisissez Transformateur d'entrée.
-
Copiez le code suivant et collez-le dans le champ Chemin d'entrée.
{ "severity": "$.detail.severity", "Account_ID": "$.detail.accountId", "Finding_ID": "$.detail.id", "Finding_Type": "$.detail.type", "region": "$.region", "Finding_description": "$.detail.description" }
-
Copiez le code suivant et collez-le dans le champ Modèle d'entrée pour formater l'e-mail.
"AWS <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region." "Finding Description:" "<Finding_description>. " "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
-
-
Cliquez sur Configurer les détails.
-
Sur la page Configurer les détails de la règle, entrez un nom et une description pour la règle, puis choisissez Créer une règle.
Création d'une règle d' CloudWatch événements et d'une cible pour GuardDuty (CLI)
La procédure suivante montre comment utiliser des AWS CLI commandes pour créer une règle d' CloudWatch événements et une cible pour GuardDuty. Plus précisément, la procédure vous montre comment créer une règle qui permet d' CloudWatch envoyer des événements pour tous les résultats qui GuardDuty génèrent et d'ajouter une AWS Lambda fonction en tant que cible pour la règle.
Note
Outre les fonctions Lambda, elles prennent en CloudWatch charge GuardDuty les types de cibles suivants : les instances Amazon EC2, les flux Amazon Kinesis, les tâches Amazon ECS, les machines d'étatAWS Step Functions, la commande et run
les cibles intégrées.
Vous pouvez également créer une règle et une cible d' CloudWatch événements GuardDuty par le biais de la console CloudWatch Événements. Pour plus d'informations et des étapes détaillées, voir Création d'une règle d' CloudWatch événements qui déclenche un événement. Dans la section Event Source, sélectionnez GuardDuty
pour Service name et GuardDuty Finding
pour Event Type.
Pour créer une règle et une cible
-
Pour créer une règle permettant d' CloudWatch envoyer des événements pour tous les résultats GuardDuty générés, exécutez la commande CloudWatch CLI suivante.
AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"
Important
Vous pouvez personnaliser davantage votre règle afin qu'elle indique d' CloudWatch envoyer des événements uniquement pour un sous-ensemble des GuardDuty résultats générés. Ce sous-ensemble est basé sur le ou les attributs de résultat qui sont spécifiés dans la règle. Par exemple, utilisez la commande CLI suivante pour créer une règle qui permet CloudWatch d'envoyer des événements uniquement pour les GuardDuty résultats présentant une gravité de 5 ou 8 :
AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"
À cette fin, vous pouvez utiliser n'importe quelle valeur de propriété disponible dans le JSON pour les GuardDuty résultats.
-
Pour associer une fonction Lambda comme cible à la règle que vous avez créée à l'étape 1, exécutez la commande CloudWatch CLI suivante.
AWS events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>
Note
Assurez-vous de remplacer <your_function>la commande ci-dessus par votre fonction Lambda réelle pour les GuardDuty événements.
-
Pour ajouter les autorisations requises pour invoquer la cible, exécutez la commande d'interface de ligne de commande Lambda suivante.
AWS lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com
Note
Assurez-vous de remplacer <your_function>la commande ci-dessus par votre fonction Lambda réelle pour les GuardDuty événements.
Note
Dans la procédure ci-dessus, nous utilisons une fonction Lambda comme cible pour la règle qui déclenche CloudWatch les événements. Vous pouvez également configurer d'autres AWS ressources en tant que cibles pour déclencher CloudWatch des événements. Pour plus d’informations, consultez PutTargets.
CloudWatch Événements pour les GuardDuty environnements multi-comptes
En tant qu' GuardDuty administrateur, les règles relatives aux CloudWatch événements de votre compte seront déclenchées en fonction des résultats applicables de vos comptes de membre. Cela signifie que si vous configurez une notification de recherche par le biais d' CloudWatch événements dans votre compte administrateur, comme indiqué dans la section précédente, vous serez informé des résultats de gravité élevée ou moyenne générés par vos comptes de membre en plus des vôtres.
Vous pouvez identifier le compte membre à l'origine de la GuardDuty recherche à l'aide du accountId
champ contenant les détails JSON de la recherche.
Pour commencer à écrire une règle d'événement personnalisée pour un compte membre spécifique de votre environnement dans la console, créez une règle et collez le modèle suivant dans Aperçu du modèle d'événement, en ajoutant l'ID de compte du compte membre avec lequel vous souhaitez déclencher l'événement.
{ "source": [ "aws.guardduty" ], "detail-type": [ "GuardDuty Finding" ], "detail": { "accountId": [ "
123456789012
" ] } }
Note
Cet exemple se déclenchera en cas de résultat de l'ID de compte indiqué. Plusieurs ID peuvent être ajoutés, séparés par une virgule conformément à la syntaxe JSON.