AWS セキュリティ統合

API宛先の作成

1. AWS UI でEventBridge > Integrations > API destinations > Create API destinationに移動します。

2. プロンプトに入力します。

3. 以下のパターンを使用してエンドポイントを構築し、それを API 宛先エンドポイントに入力します。

   https://security-ingest-processor.service.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

   コピー

   重要

   EU ライセンス キーを使用している場合は、EU エンドポイントを使用します。 https://security-ingest-processor.service.eu.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

4. HTTP メソッドとしてPOST を選択します。

5. Create a new connection [新しい接続の作成]を選択します。

新しい接続を作成する

1. 新しいプロンプトのフィールドに入力します。

2. [宛先]で [その他] を選択します。

3. Authorization typeにはAPI Keyを選択します。

4. API キー名 にApi-Keyと入力し、New Relic を貼り付けます

   ライセンスキー

   値として。

ルールの詳細を定義する

1. AWS UI で、 EventBridge > Rules > Create Ruleに移動します。
2. 名前フィールドに名前を入力します (例: SecurityEvent_NewRelicSIP_EventForwarder_Rule 。
3. Forwards Security Hub, GuardDuty, and Inspector events to the New Relic Security Ingest Processor (SIP)などの説明を入力します。
4. イベント バスの場合は、 defaultを選択します。
5. ルールの種類として、 Rule with an event patternを選択します。
6. Next [次へ]を選択します。

イベントパターンの構築

1. 新しいペインで、 AWS イベントまたは EventBridge パートナー イベントをイベント ソースとして選択します。

2. オプション: ルールをテストするために、ドロップダウンから Security Hub サンプル イベントを選択します。

3. イベント パターンの場合は、[カスタム パターンの選択] ペインに入り、パターンを入力します。たとえば、以下のパターンは、Security Hub、Guard Duty、および Inspector からのイベントに一致します。

   {
     "detail-type": [
       {
         "prefix": "Security Hub"
       },
       {
         "prefix": "GuardDuty Finding"
       },
       {
         "prefix": "Inspector2"
       }
     ]
   }

   コピー

API宛先をルールターゲットとして選択します

1. Target types [ターゲット タイプ]で、 EventBridge API destination [EventBridge API 宛先]を選択します。
2. API destination [API 宛先]で、 Use an existing API destination [既存の API 宛先を使用する] を選択します。
3. ドロップダウンを使用して、ステップ 1 で作成した API 宛先を選択します。
4. 実行ロールについては、 Create a new role for this specific resource [この特定のリソースの新しいロールを作成する]を選択します。

タグの構成 (オプション)

必要に応じてタグを構成します。

レビューと作成

すべての選択内容を確認し、必要に応じて変更を加えます。

NRDBでのレビュー

AWS Event Bridge 経由で取り込まれたログを確認するには、次の NRQL クエリを使用できます。

FROM Vulnerability SELECT * WHERE source LIKE 'AWS%' SINCE 3 MONTHS AGO

GuardDuty と Inspector の結果はこの方法でのみ表示されますが、SecurityHub の脆弱性は New Relic の脆弱性管理 (利用可能な場合) で表示されることに注意してください。