使用 CloudWatch 监控 Guardduty 调查结果

问题描述

我一直在尝试寻找一种使用 aws CloudWatch 来监控 Guardduty 调查结果的方法。好像没有简单的方法可以整合这两个服务？

到目前为止，我只能创建 SNS 主题并让它根据 Guardduty 调查结果向我发送电子邮件。我想在 Cloudwatch 中设置一个仪表板，向我显示来自 Guardduty 的任何发现的详细信息。

有没有办法在 Cloudwatch 中为 Guardduty 中的发现创建警报或使用 Cloudwatch 指标？任何有关如何最好地使用 Cloudwatch 监控 Guardduty（如果可能）的指导将不胜感激。

解决方法

GuardDuty (GT) 和 CloudWatch Metrics (CWM) 之间没有直接集成。取而代之的是 integration 与 CloudWatch Events (CWE)。

因此，您可以使用 CWE 将事件流式传输到 CW 日志 (CWL)。为此，您将在 CWE 中设置一个规则，目标是 CWL 中的日志组。然后，您将根据要测量的 GT 事件类型在日志组上设置 filter metrics。有了指标过滤器，您就可以设置 CW 警报。

随后，有了指标过滤器和警报，您就可以创建 CW 仪表板了。