特定の AWS サービスイベントタイプに対してカスタム SNS 通知を送信するように GuardDuty の EventBridge ルールを設定するにはどうしたらいいですか？

簡易説明

特定の検索タイプに一致するカスタムイベントパターンを EventBridge ルールと共に使用してください。次に、応答を Amazon Simple Notification Service (Amazon SNS) トピックにルーティングします。

解決策

この例では、Amazon GuardDuty イベントタイプ UnauthorizedAccess: ec2/MaliciousIpCaller.Customを使用しています。

注: 特定の AWS サービスのサービス名とイベントタイプは置き換え可能です。

1. Amazon SNS トピックをまだ作成していない場合は、「Amazon SNS の使用を開始する」の手順に従ってください。

**注:**Amazon SNS トピックは Amazon GuardDuty サービスと同じリージョンにある必要があります。

2. EventBridgeコンソールを開きます。

3. [ルールを作成] を選択します。

4. ルールの名前を入力します。オプションで「説明」を入力することができます。

5. イベントが適用されるバスを選択してください。

6. 「ルールタイプ」から、「イベントパターン付きルール」を選択します。次に、 [次へ] を選択します。

7. 「イベントパターン」で、「AWS サービス」をイベントソースとして選択します。次に、 AWS サービスの ** GuardDuty** を選択します。

8. [イベントタイプ] に [GuardDuty 検出結果] を選択します。

9. 「イベントパターンのプレビュー」セクションで、「パターンを編集」を選択します。

10. 次のコードをコピーして「イベントパターンのプレビュー」セクションに貼り付け、[保存] を選択します。

{
  "source": [
    "aws.guardduty"
  ],
  "detail": {
    "type": [
      "UnauthorizedAccess:EC2/MaliciousIPCaller.Custom"
    ]
  }
}

11. [次へ] を選択します。

12. [ターゲットタイプ] で [AWS サービス] を選択します。

13. [ターゲットを選択] から [SNS トピック] を選択します。次に、ドロップダウンリストからトピックを選択します。

14. (オプション) 入力トランスを設定するには、「追加設定」ドロップダウンリストを選択します。
    「ターゲット入力を設定」ドロップダウンリストで、「入力トランスフォーマー」を選択します。
    [入力転送の設定] を選択します。 [ターゲット入力トランスフォーマー] セクションの [入力パス] に、次の JSON を貼り付けます。

{
  "severity": "$.detail.severity",
  "Finding_ID": "$.detail.id",
  "instanceId": "$.detail.resource.instanceDetails.instanceId",
  "port": "$.detail.service.action.networkConnectionAction.localPortDetails.port",
  "eventFirstSeen": "$.detail.service.eventFirstSeen",
  "eventLastSeen": "$.detail.service.eventLastSeen",
  "count": "$.detail.service.count",
  "Finding_Type": "$.detail.type",
  "region": "$.region",
  "Finding_description": "$.detail.description"
}

使用可能なフィルターの詳細については、「フィルター属性」を参照してください。
[テンプレート] に、次の文字列テンプレートを貼り付けます。

"You have a new GuardDuty alert. View finding in console - https://console.aws.amazon.com/guardduty/home?<region>=#/findings?search=id%3D<Finding\_ID> "

次に、 [確認] を選択します。

15. [次へ] を選択します。

(オプション)  ルールにタグを追加し、**[次へ] **を選択します。

16. ルールの詳細を確認して、 [ルールを作成] を選択します。

17. ページの下部にある [作成] を選択します。

18. イベントタイプがトリガーされると、SNS エンドポイントに SNS 通知が届きます。

関連情報

イベントに反応する Amazon EventBridge ルールの作成

チュートリアル:入力トランスフォーマーを使用して EventBridge がイベントターゲットに渡すものをカスタマイズする

配信されない GuardDuty カスタム Amazon SNS 通知をトラブルシューティングする方法を教えてください。