Monitorando as descobertas de Macie com Notificações de Usuários da AWS

Notificações de Usuários da AWS é um serviço que atua como um local central para suas AWS notificações no AWS Management Console. Isso inclui notificações como CloudWatch alarmes da Amazon, AWS Support casos e comunicações de outras Serviços da AWS pessoas. Com Notificações de Usuários, você pode configurar regras personalizadas e canais de entrega para receber notificações sobre determinados tipos de EventBridge eventos da Amazon. Os canais de entrega incluem e-mail, notificações por AWS Chatbot chat e notificações AWS Console Mobile Application push. Você também pode revisar as notificações no Notificações de Usuários da AWS console. Para saber mais sobre isso Notificações de Usuários, consulte o Guia Notificações de Usuários da AWS do usuário.

O Amazon Macie se integra com Notificações de Usuários da AWS, o que significa que você pode configurar Notificações de Usuários para notificá-lo sobre eventos nos quais o Macie publica EventBridge para descobertas de políticas e dados confidenciais. Se um evento de descoberta corresponder aos critérios que você especificou, Notificações de Usuários gerará uma notificação. A notificação inclui detalhes importantes da descoberta associada, como o tipo e a gravidade da descoberta e o nome do recurso afetado. Notificações de Usuários também pode enviar a notificação para um ou mais canais de entrega que você especificar. Você pode personalizar sua escolha de canais de entrega para se alinhar aos seus fluxos de trabalho de segurança e conformidade.

Por exemplo, você pode configurar Notificações de Usuários para gerar notificações para tipos específicos de novas descobertas de alta gravidade. Você também pode especificar AWS Chatbot como um canal de entrega para essas notificações. Notificações de Usuários em seguida, detecta EventBridge eventos para as descobertas, gera notificações que incluem dados das descobertas e envia as notificações para AWS Chatbot. AWS Chatbot pode então encaminhar as notificações para um canal do Slack ou uma sala de bate-papo do Amazon Chime para notificar sua equipe de resposta a incidentes.

Trabalhando com Notificações de Usuários da AWS

Com isso Notificações de Usuários da AWS, você cria regras para especificar os tipos de EventBridge eventos da Amazon que você deseja monitorar e receber notificações. Uma regra define os critérios que um EventBridge evento deve corresponder para gerar uma notificação. Você também pode escolher um ou mais canais de entrega para uma regra. Os canais de entrega especificam onde você deseja receber notificações de eventos que correspondam aos critérios de uma regra.

Se Notificações de Usuários detectar um EventBridge evento que corresponda aos critérios de uma regra, ele executará as seguintes tarefas gerais:

1. Extrair um subconjunto de dados do evento.

2. Gerar uma notificação que contém os dados extraídos.

3. Enviar a notificação para os canais de entrega que você especifica para esse tipo de evento.

O design e a estrutura da notificação são otimizados para cada canal de entrega para o qual ela é enviada.

Para controlar a frequência ou o número de notificações que você recebe, você pode definir as configurações de agregação para uma regra. Se você habilitar essas configurações, Notificações de Usuários combinará dados de vários eventos em uma única notificação. Você pode optar por enviar notificações agregadas de eventos com rapidez e frequência, o que talvez você queira fazer para encontrar eventos de alta severidade. Ou envie-as com menos frequência para receber menos notificações, o que talvez você queira fazer para eventos de descoberta de baixa gravidade. Se você combinar dados de eventos, poderá detalhar para analisar os detalhes de cada evento agregado usando o Notificações de Usuários da AWS console. A partir daí, você também pode navegar até cada descoberta associada no console do Amazon Macie.

Habilitando e configurando as descobertas do Notificações de Usuários da AWS Macie

Para permitir Notificações de Usuários da AWS a geração de notificações para as descobertas do Amazon Macie, crie uma configuração de notificação para o Macie em. Notificações de Usuários Uma configuração de notificação especifica os critérios para uma regra. Também especifica canais de entrega e outras configurações para monitorar e enviar notificações sobre EventBridge eventos da Amazon que correspondam aos critérios da regra. Para obter informações detalhadas sobre como criar uma configuração de notificação, consulte Introdução Notificações de Usuários da AWS no Guia do Notificações de Usuários da AWS usuário.

Para criar uma configuração de notificação para as descobertas do Macie, selecione as seguintes opções para a regra do evento:

• Para AWS service (Serviço da AWS) Nome, selecione Macie.

• Em Tipo de evento, selecione Descoberta Macie .

• Para Regiões, selecione cada uma Região da AWS em que você usa o Macie e deseja ser notificado das descobertas.

Com essa configuração, Notificações de Usuários monitora EventBridge eventos para você Conta da AWS e gera notificações para todos os eventos que o Macie encontra nas regiões que você selecionou. Os eventos atendem aos seguintes critérios:

• source igual a aws.macie

• detail-type igual a Macie Finding

O JSON padrão subjacente para a regra do evento é:

{
    "source": ["aws.macie"],
    "detail-type": ["Macie Finding"]
}

Para refinar a regra e gerar notificações somente para um subconjunto de descobertas, você pode personalizar o JSON padrão da regra. Para fazer isso, especifique critérios adicionais que derivam doEsquema de EventBridge eventos da Amazon para descobertas de Macie.

Se você criar uma regra que usa um JSON padrão personalizado, poderá criar várias configurações de notificação para as descobertas do Macie. Em seguida, você pode personalizar os canais de entrega e outras configurações de cada configuração para se alinharem aos seus fluxos de trabalho de segurança e conformidade para tipos específicos de descobertas.

Por exemplo, você pode criar uma regra que o notifique se o Macie gerar ou atualizar um Policy:IAMUser/S3BucketPublicencontrando. Nesse caso, o padrão da regra pode ser:

{
    "source": ["aws.macie"],
    "detail-type": ["Macie Finding"],
    "detail": {
        "type": ["Policy:IAMUser/S3BucketPublic"]
    }
}

E você pode criar outra regra que o notifique se o Macie gerar uma descoberta de dados confidenciais para um bucket do S3 que esteja acessível ao público. Nesse caso, o padrão da regra pode ser:

{
    "source": ["aws.macie"],
    "detail-type": ["Macie Finding"],
    "detail": {
        "type": [ { "prefix": "SensitiveData" } ],
        "resourcesAffected": {
            "effectivePermission": ["PUBLIC"]
        }
    }
}

Se você criar várias configurações de notificação para as descobertas do Macie, é uma boa ideia garantir que a regra para cada configuração seja exclusiva. Caso contrário, você poderá receber notificações duplicadas para descobertas individuais.

Para saber mais sobre como personalizar padrões de eventos para regras, consulte Usando padrões de JSON eventos personalizados no Guia do Notificações de Usuários da AWS usuário.

Mapeando Notificações de Usuários da AWS campos para encontrar campos do Macie

Quando Notificações de Usuários da AWS gera uma notificação para uma descoberta do Amazon Macie, ele preenche a notificação com dados de um subconjunto de campos no evento correspondente da Amazon. EventBridge Esses campos oferecem detalhes importantes da descoberta associada, como o tipo e a gravidade da descoberta e o nome do recurso afetado.

Se você revisar uma notificação no Notificações de Usuários da AWS console, a notificação incluirá todos os dados desse subconjunto de campos. Ela também fornece um link para a descoberta associada no console do Amazon Macie. Se você analisar uma notificação em outros canais de entrega, ela poderá conter dados de apenas alguns dos campos. Isso ocorre porque Notificações de Usuários adapta o design e a estrutura de suas notificações para funcionar com cada tipo de canal de entrega que ele suporta.

A tabela a seguir lista os campos que podem ser incluídos em uma notificação para uma descoberta. Na tabela, a coluna Campo de notificação descreve (em itálico) ou indica o nome de um campo em uma notificação. A coluna do campo Evento de busca usa notação de ponto para indicar o nome do JSON campo correspondente em um EventBridge evento para uma descoberta. A coluna Descrição descreve os dados armazenados no campo.

Campo de notificação	Campo evento de descoberta	Descrição
Título da mensagem	detail.type	O tipo de descoberta Por exemplo: Policy:IAMUser/S3BucketPublic ou SensitiveData:S3Object/Financial.
Resumo	detail.title	Uma breve descrição da descoberta Por exemplo: The S3 object contains financial information.
Descrição	detail.description	Descrição completa da descoberta. Por exemplo: The S3 object contains financial information such as bank account numbers or credit card numbers.
Gravidade	detail.severity.description	A representação qualitativa da gravidade do achado: Low, Medium ou High.
ID da descoberta	detail.id	O identificador exclusivo da descoberta.
Criado	detail.createdAt	A data e a hora em que Macie criou a descoberta.
Atualizado	detail.updatedAt	A data e a hora em que Macie atualizou a descoberta mais recentemente. Para descobertas de dados confidenciais, esse valor é igual ao valor do campo Criado (detail.createdAt). Todas as descobertas de dados sigilosos são consideradas novas (únicas).
Bucket do S3 afetado	detail.resourcesAffected.s3Bucket.arn	O Amazon Resource Name (ARN) do bucket S3 afetado.
Objeto do S3 afetado	detail.resourcesAffected.s3Object.path	O nome (chave) do objeto S3 afetado, incluindo o nome do bucket que armazena o objeto e, se aplicável, o prefixo do objeto. Esse campo não está incluído nas notificações de descobertas de políticas.
Detecção de dados confidenciais	detail.classificationDetails.result.sensitiveData.detections... E/Ou detail.classificationDetails.result.customDataIdentifiers.detections...	Essa é uma concatenação de vários campos em um evento para uma descoberta de dados confidenciais. Esse campo não está incluído nas notificações de descobertas de políticas. Se um identificador de dados gerenciados detectou os dados confidenciais, esse campo especifica a categoria, o tipo e o número (count) das ocorrências dos dados confidenciais que foram detectados. Por exemplo: PERSONAL_INFORMATION: USA_SOCIAL_SECURITY_NUMBER 100 occurrences. Se um identificador de dados personalizado detectou os dados confidenciais, esse campo especifica o nome do identificador de dados personalizado e o número (count) de ocorrências dos dados confidenciais que foram detectados. Por exemplo: Employee ID 20 occurrences. Se uma descoberta relatar vários tipos de dados confidenciais, a notificação incluirá dados de até quatro tipos. Os dados são preenchidos primeiro por qualquer identificador de dados personalizado aplicável e, em seguida, por qualquer identificador de dados gerenciado aplicável.

Alterando Notificações de Usuários da AWS as configurações das descobertas do Macie

Você pode alterar suas Notificações de Usuários da AWS configurações para as descobertas do Amazon Macie a qualquer momento. Para fazer isso, edite a configuração da notificação em Notificações de Usuários. Para saber como, consulte Gerenciamento de configurações de notificação no Guia do Notificações de Usuários da AWS usuário.

Se você tiver várias configurações de notificação para as descobertas do Macie, alterar as configurações de uma configuração não afetará as configurações das outras configurações. Você pode editar todas ou apenas algumas de suas configurações.

Desativando as descobertas Notificações de Usuários da AWS do Macie

Para parar de gerar e receber notificações das descobertas do Notificações de Usuários da AWS Amazon Macie, exclua a configuração de notificação em. Notificações de Usuários Para saber como, consulte Gerenciamento de configurações de notificação no Guia do Notificações de Usuários da AWS usuário.

Se você tiver várias configurações de notificação para as descobertas do Macie, alterar as configurações de uma configuração não afetará as configurações das outras configurações. Você pode editar todas ou apenas algumas de suas configurações.