![GuardDutyの検出結果通知をCloudFormationで設定してみた](https://devio2023-media.developers.io/wp-content/uploads/2022/08/amazon-guardduty.png)
GuardDutyの検出結果通知をCloudFormationで設定してみた
GuardDutyの検出結果をEventBridgeとSNSを利用して通知することが可能ですが、手作業だと結構手順が必要なため一回で終わるようなCloudFormationテンプレートを作ってみました。
手作業の場合は以下のドキュメントを参考にすると設定できます。
作成したテンプレート
以下のリポジトリに入れてあります。
AWSTemplateFormatVersion: "2010-09-09" Description: GuardDuty Stack Parameters: # ------------------------------------------------------------# # Parameters # ------------------------------------------------------------# MailAddress: Type: String Resources: # ------------------------------------------------------------# # SNS # ------------------------------------------------------------# SnsTopic: Type: AWS::SNS::Topic Properties: Subscription: - Endpoint: !Ref MailAddress Protocol: email TopicName: sns-guardduty SnsTopicPolicy: Type: AWS::SNS::TopicPolicy Properties: PolicyDocument: Version: '2012-10-17' Id: __default_policy_ID Statement: - Sid: __default_statement_ID Effect: Allow Principal: AWS: '*' Action: - 'SNS:GetTopicAttributes' - 'SNS:SetTopicAttributes' - 'SNS:AddPermission' - 'SNS:RemovePermission' - 'SNS:DeleteTopic' - 'SNS:Subscribe' - 'SNS:ListSubscriptionsByTopic' - 'SNS:Publish' Resource: !Ref SnsTopic Condition: StringEquals: 'AWS:SourceOwner': !Sub ${AWS::AccountId} - Sid: AWSEvents_guardduty Effect: Allow Principal: Service: events.amazonaws.com Action: 'sns:Publish' Resource: !Ref SnsTopic Topics: - !Ref SnsTopic # ------------------------------------------------------------# # GuardDuty # ------------------------------------------------------------# GuardDuty: Type: AWS::GuardDuty::Detector Properties: Enable: true # ------------------------------------------------------------# # EventBridge # ------------------------------------------------------------# EventBridge: Type: AWS::Events::Rule Properties: EventPattern: source: - aws.guardduty detail-type: - 'GuardDuty Finding' detail: severity: - 7 - 7.0 - 7.1 - 7.2 - 7.3 - 7.4 - 7.5 - 7.6 - 7.7 - 7.8 - 7.9 - 8 - 8.0 - 8.1 - 8.2 - 8.3 - 8.4 - 8.5 - 8.6 - 8.7 - 8.8 - 8.9 Name: guardduty-event State: ENABLED Targets: - Arn: !Ref SnsTopic Id: guardduty-event InputTransformer: InputPathsMap: 'severity': '$.detail.severity' 'Account_ID': '$.detail.accountId' 'Finding_ID': '$.detail.id' 'Finding_Type': '$.detail.type' 'region': '$.region' 'time': '$.time' 'Finding_description': '$.detail.description' InputTemplate: | "AWSアカウント:<Account_ID> で重要度:<severity> のイベントが検出されました。" "検出時間:<time>" "検出タイプ:<Finding_Type>" "リージョン:<region>" "検出タイプ説明:<Finding_description>." "マネジメントコンソールから詳細をご確認ください。https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"
テンプレート説明
上記のテンプレートで設定しているのはSNSトピックの作成、GuardDutyの有効化、EventBridgeの設定です。
それぞれ見ていきます。
SNSトピックの作成
SNSトピックのエンドポイントはパラメータでメールアドレスが入るようにしています。
EventBridgeがSNSを利用できるように「sns:Publish」権限を与えています。
この権限が無いとメールが送られてこなくなります。
# ------------------------------------------------------------# # SNS # ------------------------------------------------------------# SnsTopic: Type: AWS::SNS::Topic Properties: Subscription: - Endpoint: !Ref MailAddress Protocol: email TopicName: sns-guardduty SnsTopicPolicy: Type: AWS::SNS::TopicPolicy Properties: PolicyDocument: Version: '2012-10-17' Id: __default_policy_ID Statement: - Sid: __default_statement_ID Effect: Allow Principal: AWS: '*' Action: - 'SNS:GetTopicAttributes' - 'SNS:SetTopicAttributes' - 'SNS:AddPermission' - 'SNS:RemovePermission' - 'SNS:DeleteTopic' - 'SNS:Subscribe' - 'SNS:ListSubscriptionsByTopic' - 'SNS:Publish' Resource: !Ref SnsTopic Condition: StringEquals: 'AWS:SourceOwner': !Sub ${AWS::AccountId} - Sid: AWSEvents_guardduty Effect: Allow Principal: Service: events.amazonaws.com Action: 'sns:Publish' Resource: !Ref SnsTopic Topics: - !Ref SnsTopic
SNSのCloudFormationドキュメント
GuardDutyの有効化
GuardDutyを有効化するだけだと数行で設定ができます。
# ------------------------------------------------------------# # GuardDuty # ------------------------------------------------------------# GuardDuty: Type: AWS::GuardDuty::Detector Properties: Enable: true
GuardDutyのCloudFormationドキュメント
EventBridgeの設定
GuardDutyの検出結果が重要度高(8.9~7.0)のものだけを通知するように設定しています。
またインプットトランスフォーマーの設定で通知する内容を編集しています。
イベントの中身は以下のドキュメントをご確認ください。
# ------------------------------------------------------------# # EventBridge # ------------------------------------------------------------# EventBridge: Type: AWS::Events::Rule Properties: EventPattern: source: - aws.guardduty detail-type: - 'GuardDuty Finding' detail: severity: - 7 - 7.0 - 7.1 - 7.2 - 7.3 - 7.4 - 7.5 - 7.6 - 7.7 - 7.8 - 7.9 - 8 - 8.0 - 8.1 - 8.2 - 8.3 - 8.4 - 8.5 - 8.6 - 8.7 - 8.8 - 8.9 Name: guardduty-event State: ENABLED Targets: - Arn: !Ref SnsTopic Id: guardduty-event InputTransformer: InputPathsMap: 'severity': '$.detail.severity' 'Account_ID': '$.detail.accountId' 'Finding_ID': '$.detail.id' 'Finding_Type': '$.detail.type' 'region': '$.region' 'time': '$.time' 'Finding_description': '$.detail.description' InputTemplate: | "AWSアカウント:<Account_ID> で重要度:<severity> のイベントが検出されました。" "検出時間:<time>" "検出タイプ:<Finding_Type>" "リージョン:<region>" "検出タイプ説明:<Finding_description>." "マネジメントコンソールから詳細をご確認ください。https://console.aws.amazon.com/guardduty/home?region=<region>#/findings?search=id=<Finding_ID>"
EventBridgeのCloudFormationドキュメント
デプロイ
今回はAWS CLIを使用してCloudFormationを実行します。
AWS CLIのインストールは以下のブログを参考にしてください。
AWS CLIがインストールできたら以下のコマンドを実行します。
aws cloudformation create-stack --stack-name CloudFormationスタック名 --template-body file://CloudFormationテンプレートファイル名 --parameters ParameterKey=MailAddress,ParameterValue=通知するメールアドレス
もし実行時に以下のエラーが出たらテンプレートファイルの文字コードをShift JISに変更してください
Error parsing parameter '--template-body': Unable to load paramfile (GuardDuty.yml), text contents could not be decoded. If this is a binary file, please use the fileb:// prefix instead of the file:// prefix.
CloudFormationの実行が完了するとパラメータに入力したメールアドレス宛に「AWS Notification - Subscription Confirmation」という件名でメールが届いています。
そちらのメールを開いて「Confirm subscription」をクリックするとSNSの承認が完了します。
承認完了後、マネジメントコンソール→GuardDuty→設定を開きます。
「検出結果サンプルの生成」をクリックして数分待つとメールに重要度高の検出結果サンプルが届きます。
さいごに
今回はGuardDutyの通知設定までCloudFormationで作成してみました。
内容は簡単ですがマネジメントコンソールからの設定だと面倒なこともあったので今回作成したものを今後も利用できたらと思っています。