Creación de respuestas personalizadas a GuardDuty los hallazgos con Amazon CloudWatch Events

1. Abre la CloudWatch consola en https://console.aws.amazon.com/cloudwatch/.

2. Seleccione Reglas en el panel de navegación y después Crear una regla.

3. En el menú Nombre del servicio, elija GuardDuty.

4. En el menú Tipo de evento, seleccione GuardDutyBuscar.

5. En Vista previa del patrón de eventos, elija Editar.

6. Pegue el siguiente JSON código en Event Pattern Preview y seleccione Guardar

   {
     "source": [
       "aws.guardduty"
     ],
     "detail-type": [
       "GuardDuty Finding"
     ],
     "detail": {
       "severity": [
         4,
         4.0,
         4.1,
         4.2,
         4.3,
         4.4,
         4.5,
         4.6,
         4.7,
         4.8,
         4.9,
         5,
         5.0,
         5.1,
         5.2,
         5.3,
         5.4,
         5.5,
         5.6,
         5.7,
         5.8,
         5.9,
         6,
         6.0,
         6.1,
         6.2,
         6.3,
         6.4,
         6.5,
         6.6,
         6.7,
         6.8,
         6.9,
         7,
         7.0,
         7.1,
         7.2,
         7.3,
         7.4,
         7.5,
         7.6,
         7.7,
         7.8,
         7.9,
         8,
         8.0,
         8.1,
         8.2,
         8.3,
         8.4,
         8.5,
         8.6,
         8.7,
         8.8,
         8.9,
         9.0
       ]
     }
   }

   nota

   El código anterior alertará sobre cualquier hallazgo de nivel medio a crítico. Para obtener información sobre los rangos de valores de gravedad, consulteNiveles de gravedad de los resultados.

7. En la sección Destinos, haga clic en Agregar destino.

8. En el menú Seleccionar objetivos, elija SNSTema.

9. En Seleccionar tema, seleccione el nombre del SNS tema que creó en el paso 1.

10. Configure la entrada para el evento.

    • Si está configurando las notificaciones para Chime o Slack, vaya al paso 11, el tipo de entrada predeterminado es Evento coincidente.

    • Si vas a configurar las notificaciones por correo electrónico, SNS sigue los pasos que se indican a continuación para personalizar el mensaje que se envía a tu bandeja de entrada siguiendo estos pasos:

    1. Expanda Configurar entrada y elija Transformador de entrada.

    2. Copie el código siguiente y péguelo en el campo Ruta de entrada .

       
       {
           "severity": "$.detail.severity",
           "Account_ID": "$.detail.accountId",
           "Finding_ID": "$.detail.id",
           "Finding_Type": "$.detail.type",
           "region": "$.region",
           "Finding_description": "$.detail.description"
       }
                                   

    3. Copie el código siguiente y péguelo en el campo Plantilla de entrada para dar formato al correo electrónico.

       
       "AWS <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
       "Finding Description:"
       "<Finding_description>. "
       "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                   

11. Haga clic en Configurar los detalles.

12. En la página Configurar los detalles de la regla, escriba los valores que correspondan en los campos Nombre y Descripción de la regla y elija Crear una regla.

Creación de una regla y un destino

1. Para crear una regla que permita CloudWatch enviar eventos para todos los hallazgos que se GuardDuty generen, ejecute el siguiente CloudWatch CLI comando.

   AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   importante

   Puede personalizar aún más la regla para que indique que solo se CloudWatch envíen eventos para un subconjunto de los hallazgos GuardDuty generados. Este subconjunto se basa en los atributos de resultado o atributos especificados en la regla. Por ejemplo, usa el siguiente CLI comando para crear una regla que permita CloudWatch enviar solo eventos para los GuardDuty hallazgos con una gravedad de 5 u 8:

   AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   Para ello, puede utilizar cualquiera de los valores de propiedad disponibles en el campo de JSON los GuardDuty resultados.

2. Para adjuntar una función Lambda como destino para la regla que creó en el paso 1, ejecute el siguiente CloudWatch CLI comando.

   AWS events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

   nota

   Asegúrese de reemplazar <your_function>el comando anterior por su función Lambda real para los GuardDuty eventos.

3. Para añadir los permisos necesarios para invocar el destino, ejecute el siguiente comando de CLI Lambda.

   AWS lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   nota

   Asegúrese de reemplazar <your_function>el comando anterior por su función Lambda real para los GuardDuty eventos.

   nota

   En el procedimiento anterior, utilizamos una función Lambda como objetivo de la regla que activa CloudWatch los eventos. También puede configurar otros AWS recursos como objetivos para activar CloudWatch eventos. Para obtener más información, consulte PutTargets.