Schema degli eventi Creazione di una EventBridge regola per notificarti i risultati di Amazon Inspector EventBridge per ambienti con più account di Amazon Inspector

Creazione di risposte personalizzate ai risultati di Amazon Inspector con Amazon EventBridge

Amazon Inspector crea un evento in Amazon EventBridge per i risultati appena generati e i risultati aggregati. Amazon Inspector crea anche un evento per eventuali modifiche allo stato di un risultato. Ciò significa che Amazon Inspector crea un nuovo evento per una scoperta quando intraprendi azioni come il riavvio di una risorsa o la modifica dei tag associati a una risorsa. Quando Amazon Inspector crea un nuovo evento per un risultato aggiornato, il risultato id rimane invariato.

Nota

Se il tuo account è un account amministratore delegato di Amazon Inspector, EventBridge pubblica gli eventi sul tuo account e sull'account membro da cui hanno avuto origine gli eventi.

Quando utilizzi EventBridge gli eventi con Amazon Inspector, puoi automatizzare le attività per aiutarti a rispondere ai problemi di sicurezza rivelati dai risultati. Per ricevere notifiche sui risultati di Amazon Inspector in base EventBridge agli eventi, devi creare una EventBridge regola e specificare un obiettivo per Amazon Inspector. La EventBridge regola consente di EventBridge inviare notifiche per i risultati di Amazon Inspector e il target specifica dove inviare le notifiche.

Amazon Inspector invia eventi al bus di eventi predefinito nel luogo in Regione AWS cui stai attualmente utilizzando Amazon Inspector. Ciò significa che devi configurare le regole degli eventi per ognuno dei Regione AWS casi in cui hai attivato Amazon Inspector e configurato Amazon Inspector per ricevere eventi. EventBridge Amazon Inspector emette eventi nel migliore dei modi.

Questa sezione fornisce un esempio di schema di eventi e descrive come creare una regola. EventBridge

Schema degli eventi

Di seguito è riportato un esempio del formato degli eventi di Amazon Inspector per un evento di ricerca EC2. Per esempio, schema di altri tipi di ricerca e tipi di eventi, consulta. Schema di EventBridge eventi Amazon per gli eventi Amazon Inspector



{
    "version": "0",
    "id": "66a7a279-5f92-971c-6d3e-c92da0950992",
    "detail-type": "Inspector2 Finding",
    "source": "aws.inspector2",
    "account": "111122223333",
    "time": "2023-01-19T22:46:15Z",
    "region": "us-east-1",
    "resources": ["i-0c2a343f1948d5205"],
    "detail": {
        "awsAccountId": "111122223333",
        "description": "\n It was discovered that the sound subsystem in the Linux kernel contained a\n race condition in some situations. A local attacker could use this to cause\n a denial of service (system crash).",
        "exploitAvailable": "YES",
        "exploitabilityDetails": {
            "lastKnownExploitAt": "Oct 24, 2022, 11:08:59 PM"
        },
        "findingArn": "arn:aws:inspector2:us-east-1:111122223333:finding/FINDING_ID",
        "firstObservedAt": "Jan 19, 2023, 10:46:15 PM",
        "fixAvailable": "YES",
        "lastObservedAt": "Jan 19, 2023, 10:46:15 PM",
        "packageVulnerabilityDetails": {
            "cvss": [{
                "baseScore": 4.7,
                "scoringVector": "CVSS:3.1/AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H",
                "source": "NVD",
                "version": "3.1"
            }],
            "referenceUrls": ["https://lore.kernel.org/all/CAFcO6XN7JDM4xSXGhtusQfS2mSBcx50VJKwQpCq=WeLt57aaZA@mail.gmail.com/", "https://ubuntu.com/security/notices/USN-5792-1", "https://ubuntu.com/security/notices/USN-5791-2", "https://ubuntu.com/security/notices/USN-5791-1", "https://ubuntu.com/security/notices/USN-5793-2", "https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=8423f0b6d513b259fdab9c9bf4aaa6188d054c2d", "https://ubuntu.com/security/notices/USN-5793-1", "https://ubuntu.com/security/notices/USN-5792-2", "https://ubuntu.com/security/notices/USN-5791-3", "https://ubuntu.com/security/notices/USN-5793-4", "https://ubuntu.com/security/notices/USN-5793-3", "https://git.kernel.org/linus/8423f0b6d513b259fdab9c9bf4aaa6188d054c2d(6.0-rc5)", "https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-3303"],
            "relatedVulnerabilities": [],
            "source": "UBUNTU_CVE",
            "sourceUrl": "https://people.canonical.com/~ubuntu-security/cve/2022/CVE-2022-3303.html",
            "vendorCreatedAt": "Sep 27, 2022, 11:15:00 PM",
            "vendorSeverity": "medium",
            "vulnerabilityId": "CVE-2022-3303",
            "vulnerablePackages": [{
                "arch": "X86_64",
                "epoch": 0,
                "fixedInVersion": "0:5.15.0.1027.31~20.04.16",
                "name": "linux-image-aws",
                "packageManager": "OS",
                "remediation": "apt update && apt install --only-upgrade linux-image-aws",
                "version": "5.15.0.1026.30~20.04.16"
            }]
        },
        "remediation": {
            "recommendation": {
                "text": "None Provided"
            }
        },
        "resources": [{
            "details": {
                "awsEc2Instance": {
                    "iamInstanceProfileArn": "arn:aws:iam::111122223333:instance-profile/AmazonSSMRoleForInstancesQuickSetup",
                    "imageId": "ami-0b7ff1a8d69f1bb35",
                    "ipV4Addresses": ["172.31.85.212", "44.203.45.27"],
                    "ipV6Addresses": [],
                    "launchedAt": "Jan 19, 2023, 7:53:14 PM",
                    "platform": "UBUNTU_20_04",
                    "subnetId": "subnet-8213f2a3",
                    "type": "t2.micro",
                    "vpcId": "vpc-ab6650d1"
                }
            },
            "id": "i-0c2a343f1948d5205",
            "partition": "aws",
            "region": "us-east-1",
            "type": "AWS_EC2_INSTANCE"
        }],
        "severity": "MEDIUM",
        "status": "ACTIVE",
        "title": "CVE-2022-3303 - linux-image-aws",
        "type": "PACKAGE_VULNERABILITY",
        "updatedAt": "Jan 19, 2023, 10:46:15 PM"
    }
}

Creazione di una EventBridge regola per notificarti i risultati di Amazon Inspector

Per aumentare la visibilità dei risultati di Amazon Inspector, puoi EventBridge utilizzare l'impostazione di avvisi di ricerca automatici inviati a un hub di messaggistica. Questo argomento mostra come inviare avvisi CRITICAL e rilevazioni HIGH della gravità via e-mail, Slack o Amazon Chime. Scoprirai come impostare un argomento di Amazon Simple Notification Service e quindi collegare tale argomento a una EventBridge regola di evento.

Passaggio 1. Configura un argomento e un endpoint Amazon SNS

Per configurare gli avvisi automatici, devi prima impostare un argomento in Amazon Simple Notification Service e aggiungere un endpoint. Per ulteriori informazioni, consulta la guida SNS.

Questa procedura stabilisce dove inviare i dati relativi ai risultati di Amazon Inspector. L'argomento SNS può essere aggiunto a una regola di EventBridge evento durante o dopo la creazione della regola dell'evento.

Email setup

Creazione di un argomento SNS

Accedi alla console Amazon SNS all'indirizzo https://console.aws.amazon.com/sns/v3/home.
Dal riquadro di navigazione, seleziona Argomenti, quindi seleziona Crea argomento.
Nella sezione Crea argomento, seleziona Standard. Quindi, inserisci il nome di un argomento, ad esempioInspector_to_Email. Altri dettagli sono facoltativi.
Seleziona Create Topic (Crea argomento). Si apre un nuovo pannello con i dettagli del nuovo argomento.
Nella sezione Abbonamenti, seleziona Crea abbonamento.
1. Dal menu Protocollo selezionare E-mail.
2. Nel campo Endpoint, inserisci l'indirizzo email al quale desideri ricevere le notifiche.
  
  Nota
  Ti verrà richiesto di confermare l'abbonamento tramite il tuo client di posta elettronica dopo aver creato l'abbonamento.
3. Scegli Crea iscrizione.
Cerca un messaggio di iscrizione nella tua casella di posta e scegli Conferma abbonamento.

Slack setup

Creazione di un argomento SNS

Accedi alla console Amazon SNS all'indirizzo https://console.aws.amazon.com/sns/v3/home.
Dal riquadro di navigazione, seleziona Argomenti, quindi seleziona Crea argomento.
Nella sezione Crea argomento, seleziona Standard. Quindi, inserisci il nome di un argomento, ad esempioInspector_to_Slack. Altri dettagli sono facoltativi. Scegli Crea argomento per completare la creazione dell'endpoint.

Configurazione di uno sviluppatore Amazon Q in un client di applicazioni di chat

Accedi alla console delle applicazioni Amazon Q Developer in chat all'indirizzohttps://console.aws.amazon.com/chatbot/.
Dal pannello Client configurati, seleziona Configura nuovo client.
Scegli Slack, quindi scegli Configura per confermare.

Nota
Quando scegli Slack, devi confermare le autorizzazioni per Amazon Q Developer in chat per accedere al tuo canale selezionando consenti.
Seleziona Configura un nuovo canale per aprire il riquadro dei dettagli di configurazione.
1. Inserisci un nome per il canale.
2. Per il canale Slack, scegli il canale che desideri utilizzare.
3. In Slack, copia l'ID del canale privato facendo clic con il pulsante destro del mouse sul nome del canale e selezionando Copia link.
4. Nella finestra Amazon Q Developer in chat applications, incolla l'ID del canale che hai copiato da Slack nel campo ID del canale privato. Console di gestione AWS
5. In Autorizzazioni, scegli di creare un ruolo IAM utilizzando un modello se non disponi già di un ruolo.
6. Per i modelli di policy, scegli Autorizzazioni di notifica. Questo è il modello di policy IAM per Amazon Q Developer nelle applicazioni di chat. Questa policy fornisce le autorizzazioni di lettura ed elenco necessarie per CloudWatch allarmi, eventi e registri e per gli argomenti di Amazon SNS.
7. Per le politiche di Channel guardrail, scegli. AmazonInspector2ReadOnlyAccess
8. Scegli la regione in cui hai precedentemente creato l'argomento SNS, quindi seleziona l'argomento Amazon SNS che hai creato per inviare notifiche al canale Slack.
Selezionare Configura.

Amazon Chime setup

Creazione di un argomento SNS

Accedi alla console Amazon SNS all'indirizzo https://console.aws.amazon.com/sns/v3/home.
Seleziona Argomenti dal pannello di navigazione, quindi seleziona Crea argomento.
Nella sezione Crea argomento, seleziona Standard. Quindi, inserisci il nome di un argomento, ad esempioInspector_to_Chime. Altri dettagli sono facoltativi. Scegli Crea argomento per completare.

Configurazione di un client per applicazioni di chat di Amazon Q Developer

Accedi alla console delle applicazioni Amazon Q Developer in chat all'indirizzohttps://console.aws.amazon.com/chatbot/.
Dal pannello Client configurati, seleziona Configura nuovo client.
Scegli Chime, quindi scegli Configura per confermare.
Dal riquadro Dettagli di configurazione, inserisci un nome per il canale.
In Amazon Chime, apri la chat room desiderata.
1. Seleziona l'icona a forma di ingranaggio nell'angolo in alto a destra e scegli Manage webhooks and bots (Gestisci webhook e bot).
2. Seleziona Copia URL per copiare l'URL del webhook negli appunti.
Nella finestra Amazon Q Developer in chat applications, incolla l'URL che hai copiato nel campo URL Webhook. Console di gestione AWS
In Autorizzazioni, scegli di creare un ruolo IAM utilizzando un modello se non disponi già di un ruolo.
Per i modelli di policy, scegli Autorizzazioni di notifica. Questo è il modello di policy IAM per Amazon Q Developer nelle applicazioni di chat. Fornisce le autorizzazioni di lettura ed elenco necessarie per CloudWatch allarmi, eventi e registri e per gli argomenti di Amazon SNS.
Scegli la regione in cui hai precedentemente creato l'argomento SNS, quindi seleziona l'argomento Amazon SNS che hai creato per inviare notifiche alla stanza Amazon Chime.
Selezionare Configura.

Passaggio 2. Crea una EventBridge regola per i risultati di Amazon Inspector

Accedi utilizzando le tue credenziali.
Apri la EventBridge console Amazon all'indirizzo. https://console.aws.amazon.com/events/
Seleziona Regole dal pannello di navigazione, quindi seleziona Crea regola.
Inserisci un nome e una descrizione opzionale per la regola.
Seleziona Regola con un modello di evento, quindi Avanti.
Nel riquadro Schema evento, scegli Modelli personalizzati (editor JSON).
Incolla il seguente JSON nell'editor.
```
{
  "source": ["aws.inspector2"],
  "detail-type": ["Inspector2 Finding"],
  "detail": {
    "severity": ["HIGH", "CRITICAL"],
    "status": ["ACTIVE"]
  }
}               
```
Nota
Questo modello invia notifiche per qualsiasi risultato attivo CRITICAL o di HIGH gravità rilevato da Amazon Inspector.

Seleziona Avanti quando hai finito di inserire lo schema dell'evento.
Nella pagina Seleziona obiettivi, scegli Servizio AWS. Quindi, per Seleziona il tipo di destinazione, scegli l'argomento SNS.
Per Argomento, seleziona il nome dell'argomento SNS che hai creato nel passaggio 1. Quindi scegli Successivo.
Aggiungi tag opzionali se necessario e scegli Avanti.
Rivedi la tua regola, quindi scegli Crea regola.

EventBridge per ambienti con più account di Amazon Inspector

Se sei un amministratore delegato di Amazon Inspector, EventBridge le regole vengono visualizzate sul tuo account in base ai risultati applicabili dei tuoi account membri. Se imposti le notifiche dei risultati tramite EventBridge il tuo account amministratore, come descritto nella sezione precedente, riceverai notifiche relative a più account. In altre parole, riceverai una notifica dei risultati e degli eventi generati dai tuoi account membri oltre a quelli generati dal tuo account.

Puoi utilizzare i accountId dettagli JSON della scoperta per identificare l'account membro da cui proviene la scoperta di Amazon Inspector.

Avvertimento JavaScript è disabilitato o non è disponibile nel tuo browser.

Per usare la documentazione AWS, JavaScript deve essere abilitato. Consulta le pagine della guida del browser per le istruzioni.

Convenzioni dei documenti

Esportazione di report sui risultati

Dashboard