Intégration de la sécurité AWS

Créer une destination API

1. Dans votre UI AWS, accédez à EventBridge > Integrations > API destinations > Create API destination.

2. Remplissez l'invite.

3. Construisez votre point de terminaison à l’aide du modèle ci-dessous et entrez-le dans le point de terminaison de destination de l’API :

   https://security-ingest-processor.service.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

   Copier

   Important

   Utilisez le point de terminaison UE si vous utilisez une clé de licence UE : https://security-ingest-processor.service.eu.newrelic.com/v1/security/webhooks/awssecurityhub?Api-Key=NEW_RELIC_LICENSE_KEY

4. Sélectionnez POST comme méthode HTTP.

5. Sélectionnez Create a new connection.

Créer une nouvelle connexion

1. Remplissez les champs dans la nouvelle prompt.
2. Pour Destination sélectionnez Other.
3. Pour Authorization type sélectionnez API Key.
4. Pour API Key Name saisissez Api-Key et collez votre New Relic clé de licencecomme valeur.

Définir les détails de la règle

1. Dans votre UI AWS, accédez à EventBridge > Rules > Create Rule.
2. Saisissez un nom dans le champ nom, tel que SecurityEvent_NewRelicSIP_EventForwarder_Rule.
3. Saisissez une description, telle que Forwards Security Hub, GuardDuty, and Inspector events to the New Relic Security Ingest Processor (SIP).
4. Pour le bus événementiel, sélectionnez default.
5. Pour le type de règle, sélectionnez Rule with an event pattern.
6. Sélectionnez Next.

Créer un modèle d'événement

1. Dans le nouveau volet, sélectionnez AWS events or EventBridge partner events comme source de l’événement.

2. Facultatif : choisissez n’importe quel exemple d’événement Security Hub dans la liste déroulante pour tester votre règle.

3. Pour le modèle d’événement, accédez au volet Sélectionner les modèles personnalisés et saisissez un modèle. Par exemple, le modèle ci-dessous correspond à l'événement de Security Hub, Guard Duty et Inspector :

   {
     "detail-type": [
       {
         "prefix": "Security Hub"
       },
       {
         "prefix": "GuardDuty Finding"
       },
       {
         "prefix": "Inspector2"
       }
     ]
   }

   Copier

Sélectionnez la destination de l’API comme cible de la règle

1. Pour Target types, sélectionnez EventBridge API destination.
2. Pour API destination, sélectionnez Use an existing API destination.
3. À l’aide de la liste déroulante, sélectionnez la destination API que vous avez créée à l’étape 1.
4. Pour le rôle d’exécution, sélectionnez Create a new role for this specific resource.

Configurer la balise (facultatif)

Configurez votre balise selon vos besoins.

Réviser et créer

Vérifiez toutes vos sélections et apportez les modifications nécessaires.

Avis dans NRDB

Pour consulter le log ingéré via AWS événement Bridge, vous pouvez utiliser la requête NRQL suivante :

FROM Vulnerability SELECT * WHERE source LIKE 'AWS%' SINCE 3 MONTHS AGO

Notez que les résultats de GuardDuty et Inspector ne s'afficheront que de cette manière, tandis que les vulnérabilités de SecurityHub seront visibles dans Security RX de New Relic (si disponible).