AWS CDKでSecurity Hubのイベント駆動型アーキテクチャを構築してみた

.
├── bin
│   └── cdk-security-hub.ts # エントリーポイント
├── lambda
│   └── index.ts            # Lambdaソース
├── lib
│   ├── cdk-security-hub.ts # Security Hub設定
│   └── security-action.ts  # EventBridge,SNS,Lambda関数定義
...

import * as cdk from 'aws-cdk-lib';
import { Construct } from 'constructs';
import * as events from 'aws-cdk-lib/aws-events';
import * as targets from 'aws-cdk-lib/aws-events-targets';
import * as sns from 'aws-cdk-lib/aws-sns';
import * as subscriptions from 'aws-cdk-lib/aws-sns-subscriptions';
import { NodejsFunction } from 'aws-cdk-lib/aws-lambda-nodejs';
import * as path from 'path';
import * as lambda from 'aws-cdk-lib/aws-lambda'; 

export class SecurityAction extends cdk.Stack {
  constructor(scope: Construct, id: string, props?: cdk.StackProps) {
    super(scope, id, props);

    // SNSトピック
    const topic = new sns.Topic(this, 'SecurityTopic');

    // メール購読
    topic.addSubscription(  // トピックにメール購読を追加
      new subscriptions.EmailSubscription('<メールアドレスを指定>') // 指定したメールアドレスに通知を送信
    );

    // Lambda関数
    const handler = new NodejsFunction(this, 'SecurityHandler', {
      entry: path.join(__dirname, '../lambda/index.ts'),
      handler: 'handler',
      runtime: lambda.Runtime.NODEJS_20_X,
      bundling: {
        forceDockerBundling: false,
        externalModules: [
          'aws-sdk',
        ],
      },
      environment: {
        TOPIC_ARN: topic.topicArn,  // Lambda関数内でSNSトピックのARNを環境変数として使用できるようにする

      },
    });

    // Lambda関数にSNSトピックへのメッセージ発行権限を付与
    topic.grantPublish(handler);

    // EventBridgeルール
    const rule = new events.Rule(this, 'SecurityRule', {
      eventPattern: {  // どのイベントをキャプチャするかを定義
        source: ['aws.securityhub'],  // Security Hub からのイベントをフィルタリング
        detailType: ['Security Hub Findings - Imported'],  // インポートされた検出結果のみを対象
        detail: {
          findings: {
            Severity: {
              Label: ['CRITICAL', 'HIGH', 'MEDIUM'],  // 重要度が CRITICAL、HIGH、MEDIUM の検出結果のみをフィルタリング

            }
          }
        }
      }
    });

    // ルールのターゲットとしてLambda関数を追加
    rule.addTarget(new targets.LambdaFunction(handler));
  }
}

import { SNSClient, PublishCommand } from '@aws-sdk/client-sns';

const snsClient = new SNSClient({});

export const handler = async (event: any): Promise<void> => {
  const findings = event.detail.findings;
  if (!findings || findings.length === 0) return;

  const topicArn = process.env.TOPIC_ARN;

  for (const finding of findings) {
    await snsClient.send(new PublishCommand({
      TopicArn: topicArn, // このARNで指定されたSNSトピックに通知が送信されます
      Subject: `Security Alert:開発環境 ${finding.Title.substring(0, 99)}`, // SNSのSubjectには最大100文字の制限があるため、substring(0, 99)で99文字に制限している
      Message: `Severity: ${finding.Severity.Label}\nResource: ${finding.Resources[0]?.Id || 'Unknown'}` // SNSメッセージの本文を設定。検出結果の重要度（CRITICAL、HIGH、MEDIUM）を表示
    }));
  }
};

# 特定のスタックをデプロイする場合
cdk deploy SecurityAction

# 複数のスタックがある場合、すべてをデプロイする場合は
cdk deploy --all