EventBridge formati di eventi per Security Hub

Il Security Hub Findings - Imported, Security Findings - Custom Action, e Security Hub Insight Resultsi tipi di eventi utilizzano i seguenti formati di evento.

Il formato dell'evento è il formato utilizzato quando Security Hub invia un evento a EventBridge.

Security Hub Findings - Imported

Security Hub Findings - Importedeventi inviati da Security Hub per EventBridge utilizzare il seguente formato.

{
   "version":"0",
   "id":"CWE-event-id",
   "detail-type":"Security Hub Findings - Imported",
   "source":"aws.securityhub",
   "account":"111122223333",
   "time":"2019-04-11T21:52:17Z",
   "region":"us-west-2",
   "resources":[
      "arn:aws:securityhub:us-west-2::product/aws/macie/arn:aws:macie:us-west-2:111122223333:integtest/trigger/6294d71b927c41cbab915159a8f326a3/alert/f2893b211841"
   ],
   "detail":{
      "findings": [{
         <finding content>
       }]
   }
}

<finding content>è il contenuto, in JSON formato, del risultato inviato dall'evento. Ogni evento invia un singolo risultato.

Per un elenco completo degli attributi di ricerca, vedereAWS Formato dei risultati di sicurezza (ASFF).

Per informazioni su come configurare EventBridge le regole attivate da questi eventi, vedereConfigurazione di una EventBridge regola per i risultati del Security Hub.

Security Hub Findings - Custom Action

Security Hub Findings - Custom Actioneventi inviati da Security Hub per EventBridge utilizzare il seguente formato. Ogni risultato viene inviato in un evento separato.

{
  "version": "0",
  "id": "1a1111a1-b22b-3c33-444d-5555e5ee5555",
  "detail-type": "Security Hub Findings - Custom Action",
  "source": "aws.securityhub",
  "account": "111122223333",
  "time": "2019-04-11T18:43:48Z",
  "region": "us-west-1",
  "resources": [
    "arn:aws:securityhub:us-west-1:111122223333:action/custom/custom-action-name"
  ],
  "detail": {
    "actionName":"custom-action-name",
    "actionDescription": "description of the action",
    "findings": [
      {
        <finding content>
      }
    ]
  }
}

<finding content>è il contenuto, in JSON formato, del risultato inviato dall'evento. Ogni evento invia un singolo risultato.

Per un elenco completo degli attributi di ricerca, vedereAWS Formato dei risultati di sicurezza (ASFF).

Per informazioni su come configurare EventBridge le regole attivate da questi eventi, vedereUtilizzo di azioni personalizzate per inviare risultati e approfondimenti a EventBridge.

Security Hub Insight Results

Security Hub Insight Resultseventi inviati da Security Hub per EventBridge utilizzare il seguente formato.

{ 
  "version": "0",
  "id": "1a1111a1-b22b-3c33-444d-5555e5ee5555",
  "detail-type": "Security Hub Insight Results",
  "source": "aws.securityhub",
  "account": "111122223333",
  "time": "2017-12-22T18:43:48Z",
  "region": "us-west-1",
  "resources": [
      "arn:aws:securityhub:us-west-1:111122223333::product/aws/macie:us-west-1:222233334444:test/trigger/1ec9cf700ef6be062b19584e0b7d84ec/alert/f2893b211841"
  ],
  "detail": {
    "actionName":"name of the action",
    "actionDescription":"description of the action",
    "insightArn":"ARN of the insight",
    "insightName":"Name of the insight",
    "resultType":"ResourceAwsIamAccessKeyUserName",
    "number of results":"number of results, max of 100",
    "insightResults": [
        {"result 1": 5},
        {"result 2": 6}
    ]
  }
}

Per informazioni su come creare una EventBridge regola attivata da questi eventi, vediUtilizzo di azioni personalizzate per inviare risultati e approfondimenti a EventBridge.