View a markdown version of this page

Configuration d'une EventBridge règle pour les résultats CSPM de Security Hub - AWS Hub de sécurité
Format du modèle d'événementCréation d'une règle d'événement

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Configuration d'une EventBridge règle pour les résultats CSPM de Security Hub

Vous pouvez créer une règle dans Amazon EventBridge qui définit une action à effectuer lorsqu'un Security Hub Findings - Imported événement est reçu. Security Hub Findings - Importedles événements sont déclenchés par des mises à jour provenant à la fois BatchUpdateFindings des opérations BatchImportFindings et.

Chaque règle contient un modèle d'événement qui identifie les événements qui déclenchent la règle. Le modèle d'événement contient toujours la source de l'événement (aws.securityhub) et le type d'événement (Résultats de Security Hub - Importés). Le modèle d'événement peut également spécifier des filtres pour identifier les résultats auxquels la règle s'applique.

La règle d'événement identifie ensuite les cibles de la règle. Les cibles sont les actions à effectuer lorsque EventBridge reçoit un événement Security Hub Findings - Imported et que le résultat correspond aux filtres.

Les instructions fournies ici utilisent la EventBridge console. Lorsque vous utilisez la console, crée EventBridge automatiquement la politique basée sur les ressources requise qui permet d' EventBridge écrire dans Amazon CloudWatch Logs.

Vous pouvez également utiliser le PutRule fonctionnement de l' EventBridge API. Toutefois, si vous utilisez l' EventBridge API, vous devez créer la politique basée sur les ressources. Pour plus d'informations sur la politique requise, consultez la section CloudWatch Consigne les autorisations dans le guide de EventBridge l'utilisateur Amazon.

Format du modèle d'événement

Le format du modèle d'événement pour Security Hub Findings - Imported events est le suivant :

{
  "source": [
    "aws.securityhub"
  ],
  "detail-type": [
    "Security Hub Findings - Imported"
  ],
  "detail": {
    "findings": {
      <attribute filter values>
    }
  }
}

  • sourceidentifie Security Hub CSPM comme étant le service qui génère l'événement.

  • detail-typeidentifie le type d'événement.

  • detailest facultatif et fournit les valeurs de filtre pour le modèle d'événement. Si le modèle d'événement ne contient aucun detail champ, tous les résultats déclenchent la règle.

Vous pouvez filtrer les résultats en fonction de n'importe quel attribut de recherche. Pour chaque attribut, vous fournissez un tableau d'une ou de plusieurs valeurs séparées par des virgules.

"<attribute name>": [ "<value1>", "<value2>"]

Si vous fournissez plusieurs valeurs pour un attribut, ces valeurs sont jointes parOR. Un résultat correspond au filtre d'un attribut individuel si le résultat possède l'une des valeurs répertoriées. Par exemple, si vous fournissez les deux valeurs INFORMATIONAL et LOW comme valeurs pourSeverity.Label, le résultat correspond s'il possède une étiquette de gravité égale à INFORMATIONAL ouLOW.

Les attributs sont joints parAND. Un résultat correspond s'il correspond aux critères de filtre pour tous les attributs fournis.

Lorsque vous fournissez une valeur d'attribut, elle doit refléter l'emplacement de cet attribut dans la structure ASFF ( AWS Security Finding Format).

Astuce

Lorsque vous filtrez les résultats des contrôles, nous vous recommandons d'utiliser les champs SecurityControlId ou SecurityControlArn ASFF comme filtres, plutôt que Title ouDescription. Ces derniers champs peuvent changer occasionnellement, tandis que l'ID de contrôle et l'ARN sont des identifiants statiques.

Dans l'exemple suivant, le modèle d'événement fournit des valeurs de filtre pour ProductArn et. AinsiSeverity.Label, une recherche correspond si elle est générée par Amazon Inspector et si elle possède une étiquette de gravité égale à INFORMATIONAL ouLOW.

{
    "source": [
        "aws.securityhub"
     ],
    "detail-type": [
        "Security Hub Findings - Imported"
    ],
    "detail": {
        "findings": {
            "ProductArn": ["arn:aws:securityhub:us-east-1::product/aws/inspector"],
            "Severity": {
                "Label": ["INFORMATIONAL", "LOW"]
            }
        }
    }
}

Création d'une règle d'événement

Vous pouvez utiliser un modèle d'événement prédéfini ou un modèle d'événement personnalisé pour créer une règle dans EventBridge. Si vous sélectionnez un motif prédéfini, renseignez EventBridge automatiquement source etdetail-type. EventBridge fournit également des champs permettant de spécifier des valeurs de filtre pour les attributs de recherche suivants :

  • AwsAccountId

  • Compliance.Status

  • Criticality

  • ProductArn

  • RecordState

  • ResourceId

  • ResourceType

  • Severity.Label

  • Types

  • Workflow.Status

Pour créer une EventBridge règle (console)

  1. Ouvrez la EventBridge console Amazon à l'adresse https://console.aws.amazon.com/events/.

  2. À l'aide des valeurs suivantes, créez une EventBridge règle qui surveille la recherche d'événements :

    • Pour Type de règle, choisissez Règle avec un modèle d’événement.

    • Choisissez comment créer le modèle d'événement.

      Pour créer le modèle d'événement avec... Faites ceci...

      Un modèle

      Dans la section Modèle d'événement, choisissez les options suivantes :

      • Pour Source d'événement, choisissez Services AWS .

      • Pour le AWS service, choisissez Security Hub.

      • Pour Type d'événement, choisissez Résultats de Security Hub - Importés.

      • (Facultatif) Pour rendre la règle plus précise, ajoutez des valeurs de filtre. Par exemple, pour limiter la règle aux résultats dont les états d'enregistrement sont actifs, pour les états d'enregistrement spécifiques, choisissez Actif.

      Un modèle d'événement personnalisé

      (Utilisez un modèle personnalisé si vous souhaitez filtrer les résultats en fonction d'attributs qui n'apparaissent pas dans la EventBridge console.)

      • Dans la section Modèle d'événement, choisissez Modèles personnalisés (éditeur JSON), puis collez le modèle d'événement suivant dans la zone de texte :

        {
  "source": [
    "aws.securityhub"
  ],
  "detail-type": [
    "Security Hub Findings - Imported"
  ],
  "detail": {
    "findings": {
      "<attribute name>": [ "<value1>", "<value2>"]
    }
  }
}

      • Mettez à jour le modèle d'événement pour inclure l'attribut et les valeurs d'attribut que vous souhaitez utiliser comme filtre.

        Par exemple, pour appliquer la règle aux résultats dont l'état de vérification est deTRUE_POSITIVE, utilisez l'exemple de modèle suivant :

        {
  "source": [
    "aws.securityhub"
  ],
  "detail-type": [
    "Security Hub Findings - Imported"
  ],
  "detail": {
    "findings": {
      "VerificationState": ["TRUE_POSITIVE"]
    }
  }
}

    • Pour Types de cibles, choisissez un AWS service, et pour Sélectionner une cible, choisissez une cible telle qu'une rubrique ou une AWS Lambda fonction Amazon SNS. La cible est déclenchée lorsqu'un événement correspond au modèle d'événement défini dans la règle est reçu.

    Pour plus d'informations sur la création de règles, consultez la section Création de EventBridge règles Amazon qui réagissent à des événements dans le Guide de EventBridge l'utilisateur Amazon.