EventBridge のルールの設定

注記

Security Hub はプレビューリリースであり、変更される可能性があります。

Findings Imported V2 イベントを受信したときに実行するアクションを定義するルールを Amazon EventBridge で作成できます。 Findings Imported V2 イベントは、 を通じて更新によってトリガーされますBatchUpdateFindingsV2。

各ルールには、ルールをトリガーするイベントを識別するイベントパターンが含まれています。イベントパターンには、常にイベントソース (aws.securityhub) とイベントタイプ (Findings Imported V2) が含まれます。イベントパターンでは、ルールが適用される結果を識別するためのフィルターを指定することもできます。

次に、イベントルールによってルールターゲットが識別されます。ターゲットは、EventBridge が結果インポート V2 イベントを受信し、結果がフィルターに一致するときに実行するアクションです。

ここで説明する手順では、EventBridge コンソールを使用します。このコンソールを使用すると、EventBridge による Amazon CloudWatch Logs への書き込みを有効にする必要なリソースベースポリシーが EventBridge によって自動的に作成されます。

また、EventBridge API の PutRule オペレーションを使用することもできます。ただし、EventBridge API を使用する場合は、リソースベースのポリシーを作成する必要があります。必要なポリシーの詳細については、「Amazon EventBridge ユーザーガイド」の「CloudWatch Logs の許可」を参照してください。

イベントパターンの形式

結果インポート V2 イベントのイベントパターンの形式は次のとおりです。

{
  "source": [
    "aws.securityhub"
  ],
  "detail-type": [
    "Findings Imported V2"
  ],
  "detail": {
    "findings": {
      <attribute filter values>
    }
  }
}

• source は、イベントを生成するサービスとして Security Hub を示します。

• detail-type は、イベントのタイプを示します。

• detail はオプションで、イベントパターンのフィルター値を提供します。イベントパターンに detail フィールドが含まれていない場合、すべての結果でルールがトリガーされます。

結果は、どの結果属性に基づいてもフィルタリングできます。属性ごとに、1 つ以上の値のカンマ区切りの配列を指定します。

"<attribute name>": [ "<value1>", "<value2>"]

属性に複数の値を指定すると、それらの値は OR で結合されます。結果にリストされている値が含まれている場合、結果は個々の属性のフィルターと一致しています。例えば、Severity.Label の値として INFORMATIONAL と LOW の両方を指定した場合、結果に INFORMATIONAL または LOW の重要度ラベルが含まれていると、結果は一致となります。

属性が AND で結合されている場合、結果が、指定されたすべての属性のフィルター条件に一致すると、その結果は一致となります。

属性値を指定するときは、 AWS Open Cybersecurity Schema Framework (OCSF) 構造内のその属性の場所を反映する必要があります。

次の例では、イベントパターンによって ProductArn と Severity.Label のフィルタ値が提供されています。したがって、Amazon Inspector が生成し、その重要度のラベルが INFORMATIONAL または LOW である場合は、結果が一致します。

{
    "source": [
        "aws.securityhub"
     ],
    "detail-type": [
        "Findings Imported V2"
    ],
    "detail": {
        "findings": {
            "ProductArn": ["arn:aws:securityhub:us-east-1::product/aws/inspector"],
            "Severity": {
                "Label": ["INFORMATIONAL", "LOW"]
            }
        }
    }
}

イベントルールの作成

定義済みのイベントパターンまたはカスタムのイベントパターンを使用して、EventBridge でルールを作成することができます。定義済みのパターンを選択した場合、EventBridge で source と detail-type が自動的に入力されます。EventBridge には、次の結果の属性のフィルター値を指定するフィールドもあります。

• cloud.account.uid

• compliance.status

• metadata.product.name

• resources.uid

• severity

• status

EventBridge ルールを作成する (コンソール)

1. Amazon EventBridge コンソールの https://console.aws.amazon.com/events/ を開いてください。

2. 次の値を使用して、検索イベントをモニタリングする EventBridge ルールを作成します。

   • [ルールタイプ] で、[イベントパターンを持つルール] を選択してください。

   • イベントパターンの作成方法を選択します。

     次を使用してイベントパターンを作成するには	手順
     テンプレート	[Event pattern] (イベントパターン) のセクションで、次のオプションを選択します。 [イベントソース] で、[AWS のサービス] を選択してください。 [AWS のサービス] で、[Security Hub] を選択します。 イベントタイプで、インポートされた結果 V2 を選択します。 (オプション) ルールをより具体的にしたいときは、フィルタ値を追加します。例えば、ルールを、アクティブなレコード状態を持つ結果のみに限定するときは、[Specific Record state(s)] (特定のレコード状態) で [Active] (アクティブ) を選択します。
     カスタムのイベントパターン (カスタムパターンは、EventBridge コンソールに表示されない属性に基づいて結果をフィルタリングするときに使用します)。	[Event pattern] (イベントパターン) セクションで [Custom patterns (JSON editor)] (カスタムパターン (JSONエディター)) を選択し、次のイベントパターンをテキストエリアに貼付けます。 { "source": [ "aws.securityhub" ], "detail-type": [ "Findings Imported V2" ], "detail": { "findings": { "<attribute name>": [ "<value1>", "<value2>"] } } } イベントパターンを更新し、フィルタとして使用する属性および属性値を追加します。 たとえば、重要度が の検出結果にルールを適用するにはCritical、次のパターン例を使用します。 { "source":["aws.securityhub"], "detail-type":["Findings Imported V2"], "detail":{ "findings":{ "Severity": ["Critical"] } } }

   • ターゲットタイプでAWS サービスを選択し、ターゲットの選択で Amazon SNS トピックや AWS Lambda 関数などのターゲットを選択します。ターゲットは、ルールで定義したイベントパターンに一致するイベントが返されたときにトリガーされます。

   ルールの作成に関する詳細については、「Amazon EventBridge ユーザーガイド」の「イベントに反応する Amazon EventBridge ルールの作成」を参照してください。