使用 Amazon CloudWatch Events 建立對 GuardDuty 問題清單的自訂回應

1. 在 開啟 CloudWatch 主控台https://console.aws.amazon.com/cloudwatch/。

2. 從導覽窗格選取規則，然後選取建立規則。

3. 從服務名稱功能表中，選擇 GuardDuty。

4. 從事件類型功能表中，選擇GuardDuty調查結果。

5. 在事件模式預覽中，選擇編輯。

6. 將下列JSON程式碼貼入事件模式預覽，然後選擇儲存

   {
     "source": [
       "aws.guardduty"
     ],
     "detail-type": [
       "GuardDuty Finding"
     ],
     "detail": {
       "severity": [
         4,
         4.0,
         4.1,
         4.2,
         4.3,
         4.4,
         4.5,
         4.6,
         4.7,
         4.8,
         4.9,
         5,
         5.0,
         5.1,
         5.2,
         5.3,
         5.4,
         5.5,
         5.6,
         5.7,
         5.8,
         5.9,
         6,
         6.0,
         6.1,
         6.2,
         6.3,
         6.4,
         6.5,
         6.6,
         6.7,
         6.8,
         6.9,
         7,
         7.0,
         7.1,
         7.2,
         7.3,
         7.4,
         7.5,
         7.6,
         7.7,
         7.8,
         7.9,
         8,
         8.0,
         8.1,
         8.2,
         8.3,
         8.4,
         8.5,
         8.6,
         8.7,
         8.8,
         8.9,
         9.0
       ]
     }
   }

   注意

   上述程式碼將提醒任何中至關鍵調查結果。如需嚴重性值範圍的資訊，請參閱 調查結果嚴重性層級。

7. 在目標區段中，按一下新增目標。

8. 從選取目標功能表中，選擇SNS主題。

9. 針對選取主題，選取您在步驟 1 中建立SNS的主題名稱。

10. 設定事件的輸入。

    • 如果您要設定 Chime 或 Slack 的通知，請跳至步驟 11，輸入類型預設為符合的事件。

    • 如果您要透過SNS下列步驟設定電子郵件通知，請使用下列步驟自訂傳送至收件匣的訊息：

    1. 展開​設定輸入，然後選擇​輸入轉換器。

    2. 複製下列程式碼並貼到輸入路徑欄位中。

       
       {
           "severity": "$.detail.severity",
           "Account_ID": "$.detail.accountId",
           "Finding_ID": "$.detail.id",
           "Finding_Type": "$.detail.type",
           "region": "$.region",
           "Finding_description": "$.detail.description"
       }
                                   

    3. 複製下列程式碼並貼到 輸入範本欄位，以格式化電子郵件。

       
       "AWS <Account_ID> has a severity <severity> GuardDuty finding type <Finding_Type> in the <region> region."
       "Finding Description:"
       "<Finding_description>. "
       "For more details open the GuardDuty console at https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id%3D<Finding_ID>"
                                   

11. 按一下設定詳細資料。

12. 在設定規則詳細資訊頁面上，輸入規則的名稱和描述，然後選擇建立規則。

建立規則和目標

1. 若要建立規則，讓 CloudWatch 能夠為所有產生的調查結果 GuardDuty傳送事件，請執行下列 CloudWatch CLI命令。

   AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"]}"

   重要

   您可以進一步自訂您的規則，使其指示僅針對 GuardDuty產生的問題清單子集 CloudWatch 傳送事件。此部分項目是根據調查結果屬性或規則中指定的屬性而定。例如，使用下列CLI命令來建立規則， CloudWatch 讓 僅針對嚴重性為 5 或 8 的 GuardDuty 調查結果傳送事件：

   AWS events put-rule --name Test --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[5,8]}}"

   為此，您可以使用 中可用於JSON GuardDuty 調查結果的任何屬性值。

2. 若要連接 Lambda 函數做為您在步驟 1 中建立之規則的目標，請執行下列 CloudWatch CLI命令。

   AWS events put-targets --rule Test --targets Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:<your_function>

   注意

   請務必將上述命令中的 <your_function> 取代為 GuardDuty 事件的實際 Lambda 函數。

3. 若要新增叫用目標所需的許可，請執行下列 Lambda CLI命令。

   AWS lambda add-permission --function-name <your_function> --statement-id 1 --action 'lambda:InvokeFunction' --principal events.amazonaws.com

   注意

   請務必將上述命令中的 <your_function> 取代為 GuardDuty 事件的實際 Lambda 函數。

   注意

   在上述程序中，我們使用 Lambda 函數作為觸發 CloudWatch 事件之規則的目標。您也可以將其他 AWS 資源設定為觸發 CloudWatch 事件的目標。如需詳細資訊，請參閱 PutTargets.