基于 Amazon GuardDuty 威胁级别的自动化通知

aws events put-rule --name GuardDuty-High-alert --event-pattern "{\"source\":[\"aws.guardduty\"],\"detail-type\":[\"GuardDuty Finding\"],\"detail\":{\"severity\":[7.0,7.1,7.2,7.3,7.4,7.5,7.6,7.7,7.8,7.9,8.0,8.1,8.2,8.3,8.4,8.5,8.6,8.7,8.8,8.9]}}" --region ap-northeast-1

创建后记的记录输出的RuleARN

2.配置Connect用于通知管理员.

• 在控制台中找到Amazon connect,点击开始,选择将用户存储在Amazon connect中,输入唯一的URL(如提示冲突请更换)
  

配置一个管理员(后期用于登陆管理Amazon Connect)

• 设置日志存放地址(保持默认即可)
  
• 检查资源配置并点击完成,注意记录访问URL
  
• 进入Connect控制台,这里选择一个国家和电话号码,这个号码是后期联系管理员的电话
  
• 下一步点击继续申请完成.
  
• 在页面下方找到 “5.创建联系流”
  
  
  在联系流左边找到设置语音拖拽到编辑区并配置为中文
  
• 在交互选项中找到播放提示并拖拽到编辑区
  
• 在播放提示中进行如图配置
  
• 在终止/转接中找到断开/挂断拖拽到编辑区
  
• 拖拽白点将组件按图进行连接并保存,此处保存为Alert-workflow
  
• 点击发布,记的保存左方的ARN记录
  
  至此我们创建好了Amazon Connect

3.配置Lambda用于将消息转发至Amazon Connect中

• 在AWS服务中,找到Lambda并创建空白Lambda
  基本信息进行如下配置:
  • 函数名称:alert_call
  • 运行时 Python2.7
  • 执行角色:创建具有基本 Lambda 权限的新角色
    
• 在IAM中找到新创建的Lambda执行角色并增加访问connect权限后保存
  
• 在Lambda代码编辑界面粘贴如下代码:

# -*- coding: utf-8 -*-
import json
import boto3

client = boto3.client('connect')

def lambda_handler(event, context):
    info= '<speak><break time="3s"/>您好，请注意'+ event.encode('utf8')+'</speak>'
    response = client.start_outbound_voice_contact(
    DestinationPhoneNumber='+86137********',
    InstanceId='06d82dff-b50f-4ae8-8987-c7d8704dfe9b',
    ContactFlowId='131bc124-4d5b-4970-a1e2-5202a3fab313',
    SourcePhoneNumber='+815031551939',
    Attributes={
        'message': info
    }
    )

    return {
        'statusCode': 200,
        'body': json.dumps(response)

 }

• 其中需要替换代码中的:
  • DestinationPhoneNumber 为管理员的手机号码
  • InstanceId 为Amazon connect中arn里InstanceId
  • ContactFlowId 为mazon connect中arn里的contact-flow
  • SourcePhoneNumber为mazon connect注册的电话号码
    
    修改完成后保存就完成了Lambda的创建

4.配置Cloudwatch Event rule 目标为alert_call Lambda

• 在命令中输入以下命令为Cloudwatch Event 规则的配置到Lambda的目标

aws events put-targets --rule GuardDuty-High-alert --targets Id=1,Arn=arn:aws:lambda:ap-northeast-1:accountID:function:alert_call --region ap-northeast-1

其中ARN是Lambda的ARN号码.

5.为了将语音更加人性化,我们我们在主题目标下增加转换器

参考下图

路径中填充:

{
    "time": "$.time",
    "region": "$.region",
    "instanceId": "$.detail.resource.instanceDetails.instanceId",
    "count": "$.detail.service.count",
    "severity": "$.detail.severity",
    "title": "$.detail.title",
    "description": "$.detail.description"
}

模板中填充:
"您在东京区域的的主机<instanceId>,发生了等级为<severity>的可疑行为,到目前已发生<count>次,请尽快处理"

后点击配置信息更新现有配置.
至此我们创建完成了低风险和高风险事件的处理流程,接下来我们来进行模拟.

五.方案验证

在服务中找到Guardduty,点击生成示例结果

然后我们在结果选项卡中可以看到已经有模拟生成的结果

在等待约5分钟后,你的邮箱和电话中分别会收到中风险的邮件告警以及高风险的电话通知,其中邮件内容中包含风险发生的时间,风险的等级,风险的名称和描述以及风险的实例ID和风险发生的次数,电话的内容中包含风险的等级,风险的实例ID和出现次数.

管理员收到通知后,可以在Guardduty上看到详细的风险情况,并结合系统的描述和提示加以处理.

附.Amazon GuardDuty调查结果的处理

GuardDuty 在AWS 环境中检测到意外和潜在的恶意活动时，将生成调查结果。

推荐在检测到调查结果后根据不同的威胁目的采取响应的处理方式,从https://docs.aws.amazon.com/zh_cn/guardduty/latest/ug/guardduty_finding-types-active.html

找到不同调查结果类型的说明和处理建议

此外,如果某些告警在你的预料和可控范围内,或者该活动不是您需要采取行动的威胁,您可以使用 GuardDuty 调查结果禁止规则来禁止特定行为的告警。禁止规则可降低生成的调查结果的噪声级别。当调查结果与禁止规则相匹配时，仍会生成调查结果并在 GuardDuty 中存储 90 天。但是，它会自动标记为“archived (已存档)”。相应地，它不会显示在控制台的“current findings (当前调查结果)”部分，清除掉噪声，并使您能够专注于具有更高安全价值以及表示 AWS 环境意外行为的调查结果。您仍然可以在调查结果表的存档部分查看禁止的调查结果。禁止的调查结果不会发送到 AWS Security Hub、Amazon S3、CloudWatch Events。如果您通过 Security Hub 或第三方 SIEM、警报和票证应用程序使用 GuardDuty 调查结果，这有助于降低噪声级别,关于禁止规则的常用案例和最佳实践可以参考

https://docs.aws.amazon.com/zh_cn/guardduty/latest/ug/guardduty_findings.html#guardduty_filter-suppression-rule