Comment configurer une règle EventBridge pour que GuardDuty envoie des notifications SNS personnalisées pour des types d'événements spécifiques liés au service AWS ?

Brève description

Utilisez un modèle d'événement personnalisé avec la règle EventBridge pour correspondre à un type de recherche spécifique. Acheminez ensuite la réponse vers une rubrique Amazon Simple Notification Service (Amazon SNS).

Résolution

Cet exemple utilise un type d’événement Amazon GuardDuty UnauthorizedAccess:EC2/MaliciousIPCaller.Custom.

Remarque : Vous pouvez remplacer le nom du service et le type d'événement pour votre service AWS spécifique.

1. Si vous n'avez pas encore créé de rubrique Amazon SNS, suivez les instructions de la section Premiers pas avec Amazon SNS.

**Remarque :**La rubrique Amazon SNS doit se trouver dans la même région que votre service Amazon GuardDuty.

2. Ouvrez la console EventBridge.

3. Sélectionnez Créer une règle.

4. Entrez un nom pour votre règle. Vous pouvez éventuellement saisir une description.

5. Sélectionnez le bus auquel s'applique l'événement.

6. Dans Type de règle, sélectionnez Règle avec un modèle d'événements. Sélectionnez ensuite Suivant.

7. Sous Modèle d'événement, choisissez les **services AWS ** pour la source de l'événement. Choisissez ensuite GuardDuty pour le service AWS.

8. Pour le type d'événement, choisissez résultat GuardDuty.

9. Dans la section d’aperçu du modèle d'événement, sélectionnez Modifier le modèle.

10. Copiez le code suivant, collez-le dans la section d’aperçu du modèle d'événement, puis choisissez Enregistrer.

{
  "source": [
    "aws.guardduty"
  ],
  "detail": {
    "type": [
      "UnauthorizedAccess:EC2/MaliciousIPCaller.Custom"
    ]
  }
}

11. Sélectionnez Suivant.

12. Pour les types de cibles, sélectionnez le service AWS.

13. Pour Sélectionner une cible, choisissez la rubrique SNS. Sélectionnez ensuite votre sujet dans la liste déroulante.

14. (Facultatif) Pour configurer un transformateur d'entrée, choisissez la liste déroulante Paramètres supplémentaires.
    Dans la liste déroulante Configurer l'entrée cible, choisissez Transformateur d'entrée.
    Choisissez Configurer le transfert d'entrée. Dans la section Transformateur d'entrée cible, pour Chemin d’entrée, collez le code JSON suivant :

{
  "severity": "$.detail.severity",
  "Finding_ID": "$.detail.id",
  "instanceId": "$.detail.resource.instanceDetails.instanceId",
  "port": "$.detail.service.action.networkConnectionAction.localPortDetails.port",
  "eventFirstSeen": "$.detail.service.eventFirstSeen",
  "eventLastSeen": "$.detail.service.eventLastSeen",
  "count": "$.detail.service.count",
  "Finding_Type": "$.detail.type",
  "region": "$.region",
  "Finding_description": "$.detail.description"
}

Pour plus d'informations sur les filtres disponibles, voir Attributs de filtre.
Pour Modèle, collez le modèle de chaîne suivant :

"You have a new GuardDuty alert. View finding in console - https://console.aws.amazon.com/guardduty/home?<region>=#/findings?search=id%3D<Finding\_ID> "

Choisissez ensuite Confirmer.

15. Sélectionnez Suivant.

    (Facultatif) Ajoutez des balises à votre règle, puis sélectionnez Suivant.

16. Vérifiez les détails de la règle, puis sélectionnez Créer une règle.

17. Sélectionnez Créer au bas de la page.

18. Si un type d'événement est déclenché, vous recevez une notification SNS sur le point de terminaison SNS.

Informations connexes

Création de règles Amazon EventBridge qui réagissent aux événements

Tutoriel : utiliser le transformateur d'entrée pour personnaliser ce qu'EventBridge transmet à la cible de l'événement

Comment puis-je résoudre les problèmes liés aux notifications Amazon SNS personnalisées de GuardDuty qui ne sont pas envoyées ?