【全リージョン対応】EventBridge + SNS + Chatbotで GuardDutyの結果を Slackチャンネルに通知する

川原征大

2020.05.20

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

最近 GAされた AWS Chatbot を使って GuardDutyの結果を Slackチャンネルに通知してみます。

GuardDutyの通知方法について

Amazon GuardDuty はマネージドな脅威検出サービスです。 VPCフローログ、AWS CloudTrail イベントログ、DNSログを分析し、悪意のあるアクティビティを検出します。早急なセキュリティ対応に役立ちます。

GuardDutyは サポートされている全てのリージョンで有効化 が強く推奨されています。

さて、全リージョンで有効化した後に考えないといけないのは GuardDutyで検出された結果の通知方法です。

Amazon SNS を活用して特定の Eメールに飛ばす方法や、他 3rdパーティのツールを活用する方法などあります。 (参考: 一発でGuardDutyを全リージョン有効化して通知設定するテンプレート作った | Developers.IO)

AWS Chatbotを使った通知がオススメ

普段 Slackを業務で使っている方には、 AWS Chatbot を利用した通知がオススメです。 Chatbot は最近 GAされたサービスです。AWSのアラートなどをトリガーに、 Slackチャンネルや Amazon Chime チャットルームに通知を簡単に飛ばしてくれます。

GuardDutyで出てきた結果を Slackの特定のチャンネルに飛ばすことができます。

GuardDutyの結果は Amazon CloudWatch Events のイベントとして、利用できます
Amazon EventBridge を使って、このイベントをトリガーに SNS通知を行う設定をします
Chatbot を使って SNS通知を Slackチャンネルに通知します

構築してみた

「GuardDutyの結果を Slackチャンネルに通知する構成」を全リージョンに展開してみます。

(準備)GuardDutyの全リージョン有効化
SNS, EventBridge リソースの作成(CFnテンプレート)
SNS, EventBridge リソースの作成(CFn StackSets)
Chatbot 設定(Slackの登録)
Chatbot 設定(通知設定)

1. (準備) GuardDutyの全リージョン有効化

サポートされている全リージョンで GuardDutyを有効化しておきます。 (マネジメントコンソールでポチポチしてもそれほど時間はかかりません)

2. SNS, EventBridge リソースの作成 (CFnテンプレート)

以下のような CFnテンプレートを作成しました。

SnsTopicリソース :: イベントのターゲット、及び Chatbot 連携先の SNSトピック。トピック名は guardduty-finding-topic としています。
EventTopicPolicyリソース :: EventBridgeから SNSトピックを通知するためのアクセス許可
EventBridgeRuleリソース :: トリガーの EventPattern に GuardDutyの結果 GuardDuty Finding 、ターゲットに上述 SNSトピックを指定した EventBridgeルール

パラメータとして SeverityThreshold を指定しています。 GuardDuty結果の重要度でフィルタしたいときに利用します。(フィルタしない場合は 0 にしてください)

(参考: GuardDutyの通知が重要度でフィルター可能になりました | Developers.IO)

3. SNS, EventBridge リソースの作成(CFn StackSets)

作成した CFnテンプレートを StackSets を使って全リージョンに展開します。

※ StackSetsを初めて使う際は、「StackSetsを実行するための IAMロール AWSCloudFormationStackSetAdministrationRole 」、「実際にCFnテンプレートを展開するための IAMロール AWSCloudFormationStackSetExecutionRole 」が必要です。 (参考: CloudFormation StackSetsを試してみた | Developers.IO)

東京リージョンで StackSetsを作成します。「デプロイオプションのデプロイ先」に自身のAWSアカウントID、「リージョンの指定」で すべてのリージョンを追加 を選択しましょう。

全てのスタックが CURRENT となれば展開完了です。

4. Chatbot 設定(Slackの登録)

Chatbotはグローバルサービスです。

まずは Slackへの通知権限を付与するためにクライアント設定をマネジメントコンソール上で行います。 AWS Chatbotのページに行き、チェットクライアントに Slack を選択して「クライアント設定」を選択します。

対象のワークスペース、権限等確認して「許可する」を選択します。

設定済みクライアントに Slackワークスペースが登録されていることを確認します。

5. Chatbot 設定(通知設定)

Chatbotの SNS通知設定を行います。以下 CFnテンプレートを展開します。

ChatbotIamRoleリソース :: Chatbot用の IAMロールです。CloudWatch のReadOnly権限を与えています。
ChatbotConfigurationリソース :: Chatbotの通知設定です。 SnsTopicArns に全リージョンに作成した SNSトピックの ARNを指定しています。

また、Slackに関する情報として以下パラメータが必要です。