Route 53 解析器 DNS 防火墙事件详细参考 - Amazon Route 53
DNS 防火墙警报事件详细信息DNS 防火墙屏蔽事件详情

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

Route 53 解析器 DNS 防火墙事件详细参考

来自 AWS 服务的所有事件都有一组公共字段，其中包含有关事件的元数据，例如作为事件来源的 AWS 服务、事件的生成时间、事件发生的账户和区域等。有关这些常规字段的定义，请参阅《Amazon EventBridge 用户指南》中的事件结构参考。

此外，每个事件都有一个 detail 字段，其中包该特定事件专有的数据。以下参考文献定义了各种 DNS 防火墙事件的详细信息字段。

使用 EventBridge 选择和管理 DNS 防火墙事件时，请记住以下几点：

  • 来自 DNS 防火墙的所有事件的source字段设置为aws.route53resolver。

  • detail-type 字段指定事件类型。

    例如，DNS Firewall Block 或 DNS Firewall Alert。

  • detail 字段包含该特定事件专有的数据。

有关构建事件模式以使规则能够匹配 DNS 防火墙事件的信息，请参阅《Amazon EventBridge 用户指南》中的事件模式。

有关事件及其 EventBridge 处理方式的更多信息，请参阅《Amazon EventBridge 用户指南》中的Amazon EventBridge 事件。

DNS 防火墙警报事件详细信息

以下是警报状态事件详细信息的详细信息字段。

之所以包括source和detail-type字段，是因为它们包含 Route 53 事件的特定值。

{...,
 "detail-type": "DNS Firewall Alert",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]
detail-type

标识事件的类型。

对于此事件，此值为DNS Firewall Alert。

source

标识生成事件的服务。对于 DNS 防火墙事件，此值为aws.route53resolver。

detail

包含关于事件信息的 JSON 对象。生成事件的服务决定该字段的内容。

对于此事件，这些数据包括：

account-id

创建 VPC 的 ID。 AWS 账户

last-observed-at

在 VPC 中进行警报/阻止查询的时间戳。

query-name

查询中指定的域名 (example.com) 或子域名 (www.example.com)。

query-type

要么是请求中指定的 DNS 记录类型，要么是 ANY。有关 Route 53 支持的类型的信息，请参阅 支持的 DNS 记录类型。

query-class

查询的类。

transport

用于提交 DNS 查询的协议。

firewall-rule-action

查询中与域名匹配的规则指定的操作。ALERT 或 BLOCK。

firewall-rule-group-id

查询中与域名匹配的 DNS Firewall 规则组 ID。有关防火墙规则组的更多信息，请参阅 DNS 防火墙DNS Firewall 规则组和规则。

firewall-domain-list-id

查询中与域名匹配的规则使用的域列表。

resourcese

包含资源类型和有关它们的其他详细信息。

resource-type

指定资源类型，例如解析器终端节点或 VPC 实例。

resource-type-detail

有关资源的其他详细信息。

例 DNS 防火墙警报事件

以下是警报事件的示例。

{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Alert",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "ALERT",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0",
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0"
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}

DNS 防火墙屏蔽事件详情

以下是活动名称的详细信息字段。

之所以包括source和detail-type字段，是因为它们包含 Route 53 事件的特定值。

{...,
 "detail-type": "DNS Firewall Block",
  "source": "aws.route53resolver",
 ...,
 "detail": {
      "account-id": "string",
      "last-observed-at": "string",
      "query-name": "string",
      "query-type": "string",
      "query-class": "string",
      "transport": "string",
      "firewall-rule-action": "string",
      "firewall-rule-group-id": "string",
      "firewall-domain-list-id": "string",
      "resources": [{
         "resource-type": "string",
         "instance-details": {
             "id": "string",
       }
     },
     { 
         "resource-type": "string",
         "resolver-endpoint-details": {
         "id": "string"
       }
     }
 ]
detail-type

标识事件的类型。

对于此事件，此值为DNS Firewall Alert。

source

标识生成事件的服务。对于 DNS 防火墙事件，此值为aws.route53resolver。

detail

包含关于事件信息的 JSON 对象。生成事件的服务决定该字段的内容。

对于此事件，这些数据包括：

account-id

创建 VPC 的 ID。 AWS 账户

last-observed-at

在 VPC 中进行警报/阻止查询的时间戳。

query-name

查询中指定的域名 (example.com) 或子域名 (www.example.com)。

query-type

要么是请求中指定的 DNS 记录类型，要么是 ANY。有关 Route 53 支持的类型的信息，请参阅 支持的 DNS 记录类型。

query-class

查询的类。

transport

用于提交 DNS 查询的协议。

firewall-rule-action

查询中与域名匹配的规则指定的操作。ALERT 或 BLOCK。

firewall-rule-group-id

查询中与域名匹配的 DNS Firewall 规则组 ID。有关防火墙规则组的更多信息，请参阅 DNS 防火墙DNS Firewall 规则组和规则。

firewall-domain-list-id

查询中与域名匹配的规则使用的域列表。

resourcese

包含资源类型和有关它们的其他详细信息。

resource-type

指定资源类型，例如解析器终端节点或 VPC 实例。

resource-type-detail

有关资源的其他详细信息。

例 示例事件

以下是区块事件的示例。

{
 "version": "1.0",
 "id": "8e5622f9-d81c-4d81-612a-9319e7ee2506",
 "detail-type": "DNS Firewall Block",
 "source": "aws.route53resolver",
 "account": "123456789012",
 "time": "2023-05-30T21:52:17Z",
 "region": "us-west-2",
 "resources": [],
 "detail": {
 "account-id": "123456789012",
 "last-observed-at": "2023-05-30T20:15:15.900Z",
 "query-name": "15.3.4.32.in-addr.arpa.",
 "query-type": "A",
 "query-class": "IN",
 "transport": "UDP",
 "firewall-rule-action": "BLOCK",
 "firewall-rule-group-id": "rslvr-frg-01234567890abcdef",
 "firewall-domain-list-id": "rslvr-fdl-01234567890abcdef",
 "resources": [{
      "resource-type": "instance",
      "instance-details": {
         "id": "i-05746eb48123455e0"
       }
     },
     { 
      "resource-type": "resolver-endpoint",
      "resolver-endpoint-details": {
         "id": "i-05746eb48123455e0",
       }
     }
 ],
"src-addr": "4.5.64.102",
"src-port": "56067",
"vpc-id": "vpc-7example"
 }
}