아마존 사용 EventBridge

EventBridgeAmazon은 다양한 소스의 데이터에 애플리케이션을 쉽게 연결할 수 있게 해주는 서버리스 이벤트 버스 서비스입니다. EventBridge 자체 애플리케이션, oftware-as-a S-Service (SaaS) 애플리케이션 AWS 및 서비스에서 실시간 데이터 스트림을 제공하고 해당 데이터를 Lambda와 같은 대상으로 라우팅합니다. 이를 통해 서비스에서 발생하는 이벤트를 모니터링하고 이벤트 기반 아키텍처를 구축할 수 있습니다. 자세한 내용은 Amazon EventBridge 사용 설명서를 참조하십시오.

S3용 멀웨어 보호로 보호되는 S3 버킷의 소유자 계정으로서 다음 시나리오에서 기본 이벤트 버스에 EventBridge 알림을 GuardDuty 게시합니다.

• 모든 보호 버킷의 멀웨어 보호 계획 리소스 상태는 변경됩니다. 다양한 상태에 대한 자세한 내용은 을 참조하십시오. 멀웨어 보호 계획 리소스 상태

• 다음과 같은 이유로 태그 이벤트 실패가 발생했습니다.

  • PassRole IAM에 객체에 태그를 지정할 권한이 없습니다.

    IAM 정책 권한 추가템플릿에는 객체에 태그를 지정할 GuardDuty 수 있는 권한이 포함되어 있습니다.

  • IAM에 지정된 버킷 리소스 또는 객체는 더 PassRole 이상 존재하지 않습니다.

  • 연결된 S3 객체가 이미 최대 태그 한도에 도달했습니다. 태그 제한에 대한 자세한 내용은 Amazon S3 사용 설명서의 태그를 사용한 스토리지 분류를 참조하십시오.

• S3 객체 스캔 결과는 기본 EventBridge 이벤트 버스에 게시됩니다.

EventBridge 규칙 설정

계정에서 리소스 상태, 스캔 후 태그 실패 이벤트 또는 S3 객체 스캔 결과를 다른 AWS 서비스사람에게 전송하도록 EventBridge 규칙을 설정할 수 있습니다. 위임된 GuardDuty 관리자 계정으로서 상태가 변경될 경우 멀웨어 보호 계획 리소스 상태 알림을 받게 됩니다.

표준 EventBridge 가격이 적용됩니다. 자세한 정보는 S3용 멀웨어 보호 요금을 참조하세요.

빨간색으로 표시된 모든 값은 예제의 자리 표시자입니다. 이 값은 S3 객체의 스캔 결과에 따라 변경됩니다.

멀웨어 방지 계획 리소스 상태

다음 시나리오를 기반으로 EventBridge 이벤트 패턴을 만들 수 있습니다.

잠재적 detail-type 값

• "GuardDuty Malware Protection Resource Status Active"

• "GuardDuty Malware Protection Resource Status Warning"

• "GuardDuty Malware Protection Resource Status Error"

이벤트 패턴

{
      "detail-type": ["potential detail-type"],
      "source": ["aws.guardduty"]
}

에 대한 샘플 알림 스키마 GuardDuty Malware Protection Resource Status Active

{
    "version": "0",
    "id": "6a7e8feb-b491-4cf7-a9f1-bf3703467718",
    "detail-type": "GuardDuty Malware Protection Resource Status Active",
    "source": "aws.guardduty",
    "account": "111122223333",
    "time": "2017-12-22T18:43:48Z",
    "region": "us-east-1",
    "resources": ["arn:aws:guardduty:us-east-1:111122223333:malware-protection-plan/b4c7f464ab3a4EXAMPLE"],
    "detail": {
        "schemaVersion": "1.0",
        "eventTime": "2024-02-28T01:01:01Z",
        "s3BucketDetails": {
            "bucketName": "DOC-EXAMPLE-BUCKET"
        },
        "resourceStatus": "ACTIVE"
    }
}

GuardDuty Malware Protection Resource Status Error또는 에 대한 샘플 알림 스키마 GuardDuty Malware Protection Resource Status Warning

{
    "version": "0",
    "id": "fc7a35b7-83bd-3c1f-ecfa-1b8de9e7f7d2",
    "detail-type": "GuardDuty Malware Protection Resource Status Error or Warning",
    "source": "aws.guardduty",
    "account": "111122223333",
    "time": "2017-12-22T18:43:48Z",
    "region": "us-east-1",
    "resources": ["arn:aws:guardduty:us-east-1:111122223333:malware-protection-plan/b4c7f464ab3a4EXAMPLE"],
    "detail": {
        "schemaVersion": "1.0",
        "eventTime": "2024-02-28T01:01:01Z",
        "s3BucketDetails": {
            "bucketName": "DOC-EXAMPLE-BUCKET"
        },
        "resourceStatus": "ERROR",
        "statusReasons": [{
            "code": "EVENTBRIDGE_MANAGED_EVENTS_DELIVERY_DISABLED"
        }, {
            "code": "PROTECTED_RESOURCE_DELETED"
        }]
    }
}

이때 resourceStatus 값은 Warning 또는 Error가 될 수 있습니다.

보호된 버킷의 상태 열이 경고 또는 오류로 변경되면 기본 이유에 따라 statusReasons 값이 채워집니다. 문제 해결 단계에 대한 자세한 내용은 을 참조하십시오문제 해결 멀웨어 보호 계획 상태 세부 정보.

사후 태그 지정 실패 이벤트

이벤트 패턴:

{
      "detail-type": "GuardDuty Malware Protection Post Scan Action Failed",
      "source": "aws.guardduty"
 }

샘플 알림 스키마:

{
    "version": "0",
    "id": "746acd83-d75c-5b84-91d2-dad5f13ba0d7",
    "detail-type": "GuardDuty Malware Protection Post Scan Action Failed",
    "source": "aws.guardduty",
    "account": "111122223333",
    "time": "2024-06-10T16:16:08Z",
    "region": "us-east-1",
    "resources": ["arn:aws:guardduty:us-east-1:111122223333:malware-protection-plan/b4c7f464ab3a4EXAMPLE"],
    "detail": {
        "schemaVersion": "1.0",
        "eventTime": "2024-06-10T16:16:08Z",
        "s3ObjectDetails": {
            "bucketName": "DOC-EXAMPLE-BUCKET",
            "objectKey": "2024-03-10-16-16-00-7D723DE8DBE9Y2E0",
            "eTag": "0e9eeec810ad8b61d69112c15c2a5hb6"
        },
        "postScanActions": [{
            "actionType": "TAGGING",
            "status": "FAILED",
            "failureReason": "ACCESS_DENIED"
        }]
    }
}

잠재적 failureReason 값에는 ACCESS_DENIED 및 이 포함됩니다MAX_TAG_LIMIT_EXCEEDED.

S3 객체 스캔 결과

{
  "detail-type": ["GuardDuty Malware Protection Object Scan Result"],
  "source": ["aws.guardduty"]
}

에 대한 샘플 알림 스키마 NO_THREATS_FOUND

{
    "version": "0",
    "id": "72c7d362-737a-6dce-fc78-9e27a0171419",
    "detail-type": "GuardDuty Malware Protection Object Scan Result",
    "source": "aws.guardduty",
    "account": "111122223333",
    "time": "2024-02-28T01:01:01Z",
    "region": "us-east-1",
    "resources": [arn:aws:guardduty:us-east-1:111122223333:malware-protection-plan/b4c7f464ab3a4EXAMPLE],
    "detail": {
        "versionId": "1.0",
        "scanStatus": "COMPLETED",
        "resourceType": "S3_OBJECT",
        "s3ObjectDetails": {
            "bucketName": "DOC-EXAMPLE-BUCKET",
            "objectKey": "APKAEIBAERJR2EXAMPLE",
            "eTag": "ASIAI44QH8DHBEXAMPLE"
        },
        "scanResultDetails": {
            "scanResultStatus": "NO_THREATS_FOUND",
            "threats": null
        }
    }
}

에 대한 샘플 알림 스키마 THREATS_FOUND

{
    "version": "0",
    "id": "72c7d362-737a-6dce-fc78-9e27a0171419",
    "detail-type": "GuardDuty Malware Protection Object Scan Result",
    "source": "aws.guardduty",
    "account": "111122223333",
    "time": "2024-02-28T01:01:01Z",
    "region": "us-east-1",
    "resources": [arn:aws:guardduty:us-east-1:111122223333:malware-protection-plan/b4c7f464ab3a4EXAMPLE],
    "detail": {
        "versionId": "1.0",
        "scanStatus": "COMPLETED",
        "resourceType": "S3_OBJECT",
        "s3ObjectDetails": {
            "bucketName": "DOC-EXAMPLE-BUCKET",
            "objectKey": "APKAEIBAERJR2EXAMPLE",
            "eTag": "ASIAI44QH8DHBEXAMPLE"
        },
        "scanResultDetails": {
            "scanResultStatus": "THREATS_FOUND",
            "threats": [
                {
                    "name": "EICAR-Test-File (not a virus)"
                }
            ]
        }
    }
}