EventBridge formats d'événements pour Security Hub

Les types d'Security Hub Insight Resultsévénements Security Hub Findings - ImportedSecurity Findings - Custom Action, et utilisent les formats d'événements suivants.

Le format d'événement est le format utilisé lorsque Security Hub envoie un événement à EventBridge.

Security Hub Findings - Imported

Security Hub Findings - Importedles événements envoyés depuis Security Hub doivent EventBridge utiliser le format suivant.

{
   "version":"0",
   "id":"CWE-event-id",
   "detail-type":"Security Hub Findings - Imported",
   "source":"aws.securityhub",
   "account":"111122223333",
   "time":"2019-04-11T21:52:17Z",
   "region":"us-west-2",
   "resources":[
      "arn:aws:securityhub:us-west-2::product/aws/macie/arn:aws:macie:us-west-2:111122223333:integtest/trigger/6294d71b927c41cbab915159a8f326a3/alert/f2893b211841"
   ],
   "detail":{
      "findings": [{
         <finding content>
       }]
   }
}

<finding content>est le contenu, sous JSON forme, du résultat envoyé par l'événement. Chaque événement envoie un résultat unique.

Pour obtenir la liste complète des attributs de recherche, voirAWS Format de recherche de sécurité (ASFF).

Pour plus d'informations sur la façon de configurer les EventBridge règles déclenchées par ces événements, consultezConfiguration d'une EventBridge règle pour les résultats du Security Hub.

Security Hub Findings - Custom Action

Security Hub Findings - Custom Actionles événements envoyés depuis Security Hub doivent EventBridge utiliser le format suivant. Chaque résultat est envoyé dans le cadre d'un événement distinct.

{
  "version": "0",
  "id": "1a1111a1-b22b-3c33-444d-5555e5ee5555",
  "detail-type": "Security Hub Findings - Custom Action",
  "source": "aws.securityhub",
  "account": "111122223333",
  "time": "2019-04-11T18:43:48Z",
  "region": "us-west-1",
  "resources": [
    "arn:aws:securityhub:us-west-1:111122223333:action/custom/custom-action-name"
  ],
  "detail": {
    "actionName":"custom-action-name",
    "actionDescription": "description of the action",
    "findings": [
      {
        <finding content>
      }
    ]
  }
}

<finding content>est le contenu, sous JSON forme, du résultat envoyé par l'événement. Chaque événement envoie un résultat unique.

Pour obtenir la liste complète des attributs de recherche, voirAWS Format de recherche de sécurité (ASFF).

Pour plus d'informations sur la façon de configurer les EventBridge règles déclenchées par ces événements, consultezUtilisation d'actions personnalisées pour envoyer des résultats et des informations sur les résultats à EventBridge.

Security Hub Insight Results

Security Hub Insight Resultsles événements envoyés depuis Security Hub doivent EventBridge utiliser le format suivant.

{ 
  "version": "0",
  "id": "1a1111a1-b22b-3c33-444d-5555e5ee5555",
  "detail-type": "Security Hub Insight Results",
  "source": "aws.securityhub",
  "account": "111122223333",
  "time": "2017-12-22T18:43:48Z",
  "region": "us-west-1",
  "resources": [
      "arn:aws:securityhub:us-west-1:111122223333::product/aws/macie:us-west-1:222233334444:test/trigger/1ec9cf700ef6be062b19584e0b7d84ec/alert/f2893b211841"
  ],
  "detail": {
    "actionName":"name of the action",
    "actionDescription":"description of the action",
    "insightArn":"ARN of the insight",
    "insightName":"Name of the insight",
    "resultType":"ResourceAwsIamAccessKeyUserName",
    "number of results":"number of results, max of 100",
    "insightResults": [
        {"result 1": 5},
        {"result 2": 6}
    ]
  }
}

Pour plus d'informations sur la création d'une EventBridge règle déclenchée par ces événements, consultezUtilisation d'actions personnalisées pour envoyer des résultats et des informations sur les résultats à EventBridge.