AWS 보안 통합

API 대상 생성

1. AWS UI에서 EventBridge > Integrations > API destinations > Create API destination 으로 이동합니다.

2. 프롬프트를 입력합니다.

3. 아래 패턴을 사용하여 엔드포인트를 구성하고 API 대상 엔드포인트에 입력합니다.

   https://security-ingest-processor.service.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

   카피

   중요

   EU 라이선스 키를 사용하는 경우 EU 엔드포인트를 사용하세요. https://security-ingest-processor.service.eu.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

4. HTTP 메서드로 POST 선택합니다.

5. Create a new connection 선택합니다.

새 연결 만들기

1. 새 프롬프트의 필드를 채우십시오.

2. Destination

   에 대해

   Other

   선택합니다.

3. Authorization type

   에 대해

   API Key

   선택합니다.

4. API Key Name

   에 Api-Key 입력하고 뉴렐릭

   라이선스 키

   을 값으로 붙여넣습니다.

규칙 세부정보 정의

1. AWS UI에서

   EventBridge > Rules > Create Rule

   으로 이동합니다.

2. 이름 필드에 이름을 입력합니다(예: SecurityEvent_NewRelicSIP_EventForwarder_Rule.

3. 설명을 입력합니다(예: Forwards Security Hub, GuardDuty, and Inspector events to the New Relic Security Ingest Processor (SIP).

4. 이벤트 버스의 경우 default 선택합니다.

5. 규칙 유형으로 Rule with an event pattern 선택합니다.

6. Next

   선택합니다.

이벤트 패턴 구축

1. 새 창에서 이벤트 소스로 AWS events or EventBridge partner events 선택합니다.

2. 선택 사항: 드롭다운에서 Security Hub 샘플 이벤트를 선택하여 규칙을 테스트합니다.

3. 이벤트 패턴의 경우 사용자 지정 패턴 선택 창을 입력하고 패턴을 입력합니다. 예를 들어 아래 패턴은 Security Hub, Guard Duty 및 Inspector의 이벤트와 일치합니다.

   {
     "detail-type": [
       {
         "prefix": "Security Hub"
       },
       {
         "prefix": "GuardDuty Finding"
       },
       {
         "prefix": "Inspector2"
       }
     ]
   }

   카피

API 대상을 규칙 대상으로 선택

1. Target types

   에 대해

   EventBridge API destination

   선택합니다.

2. API destination

   에 대해

   Use an existing API destination

   선택합니다.

3. 드롭다운을 사용하여 1단계에서 만든 API 대상을 선택합니다.

4. 실행 역할로

   Create a new role for this specific resource

   선택합니다.

태그 구성(선택 사항)

필요에 따라 태그를 구성합니다.

검토 및 생성

모든 선택 사항을 검토하고 필요에 따라 변경합니다.

NRDB에서 검토

AWS Event Bridge를 통해 수집된 로그를 검토하려면 다음 NRQL 쿼리를 사용할 수 있습니다.

FROM Vulnerability SELECT * WHERE source LIKE 'AWS%' SINCE 3 MONTHS AGO

GuardDuty 및 Inspector 결과는 이 방식으로만 표시되는 반면 SecurityHub 취약성은 New Relic의 취약성 관리(사용 가능한 경우)에 표시됩니다.