生成AIを用いてセキュリティアラートをカスタマイズする

$ aws guardduty create-detector --enable --region ap-northeast-1

$ aws ses verify-email-identity --email-address "your-email@example.com" --region ap-northeast-1

import json
import boto3
import os

# SESとBedrockのクライアントを作成
ses_client = boto3.client('ses')
bedrock_client = boto3.client('bedrock-runtime')  # 正しいクライアント名を使用してください

# 環境変数からSES送信元と送信先のメールアドレスを取得
SES_SENDER_EMAIL = os.environ['SES_SENDER_EMAIL']
SES_RECIPIENT_EMAIL = os.environ['SES_RECIPIENT_EMAIL']

def lambda_handler(event, context):
    # イベントがリストとして渡される場合の処理
    if isinstance(event, list):
        event = event[0]
    
    # イベントが辞書であることを確認
    if not isinstance(event, dict):
        return {'statusCode': 400, 'body': json.dumps('Invalid event format')}

    # イベントから詳細を取得
    detail = event.get('detail', {})

    # 解析する情報を抽出
    account_id = event.get('account', '不明')
    region = event.get('region', '不明')
    severity = detail.get('severity', '不明')
    finding_id = detail.get('id', '不明')
    finding_type = detail.get('type', '不明')
    resource_type = detail.get('resource', {}).get('resourceType', '不明')

    # 解析リクエストメッセージを生成
    prompt = (
        f'AWS GuardDuty 検知結果\n'
        f'アカウントID: {account_id}\n'
        f'リージョン: {region}\n'
        f'重要度: {severity}\n'
        f'検出結果ID: {finding_id}\n'
        f'検出結果タイプ: {finding_type}\n'
        f'影響を受けるリソース: {resource_type}\n'
        f'原因と対策を教えてください。\n'
    )

    try:
        # Bedrock APIを呼び出し
        response = bedrock_client.invoke_model(
            modelId='anthropic.claude-v2:1',
            contentType='application/json',
            accept='application/json',
            body=json.dumps({
                "prompt": f"Human: {prompt}\nAssistant:",
                "max_tokens_to_sample": 500,
                "temperature": 0.7
            })
        )
        # 非同期でレスポンスを待つ
        response_body = response['body'].read().decode('utf-8')
        analysis_result = json.loads(response_body).get('completion', '分析結果が返されませんでした。')
    except Exception as e:
        analysis_result = f"GuardDutyイベントの処理中にエラーが発生しました: {str(e)}"

    # SESを使用してメールを送信
    try:
        ses_client.send_email(
            Source=SES_SENDER_EMAIL,
            Destination={'ToAddresses': [SES_RECIPIENT_EMAIL]},
            Message={
                'Subject': {'Data': "GuardDuty Event Analysis Result", 'Charset': 'UTF-8'},
                'Body': {'Text': {'Data': f"Analysis Result:\n\n{prompt}\n\n{analysis_result}", 'Charset': 'UTF-8'}}
            }
        )
    except Exception as e:
        return {'statusCode': 500, 'body': json.dumps(f"メール送信中にエラーが発生しました: {str(e)}")}

    return {'statusCode': 200, 'body': json.dumps('Email sent successfully!')}

$ aws lambda update-function-configuration \
    --function-name "function-name" \
    --environment "Variables={ \
        SES_RECIPIENT_EMAIL="your-email@example.com", \
        SES_SENDER_EMAIL="your-email@example.com" \
    }"

$ aws iam put-role-policy \
    --role-name "Lambdaに適用されているロール名" \
    --policy-name BedrockAccessPolicy \
    --policy-document '{
        "Version": "2012-10-17",
        "Statement": [
            {
                "Effect": "Allow",
                "Action": [
                    "bedrock:InvokeModel"
                ],
                "Resource": "*"
            },
            {
                "Effect": "Allow",
                "Action": [
                    "ses:SendEmail",
                    "ses:SendRawEmail"
                ],
                "Resource": "*"
            }
        ]
    }'

$ aws lambda update-function-configuration --function-name <function-name> --timeout 15

aws events put-rule \
    --name GuardDutyAllFindingsRule \
    --event-pattern '{
        "source": ["aws.guardduty"],
        "detail-type": ["GuardDuty Finding"]
    }' \
    --description "Rule to catch all GuardDuty findings" \
    --region ap-northeast-1

$ export LAMBDA_ARN=$(aws lambda get-function --function-name "function-name" --query 'Configuration.FunctionArn' --output text)
$ echo $LAMBDA_ARN

aws events put-targets \
    --rule GuardDutyAllFindingsRule \
    --targets "[
        {
            \"Id\": \"1\",
            \"Arn\": \"${LAMBDA_ARN}\"
        }
    ]" \
    --region ap-northeast-1

$ DETECTOR_ID=$(aws guardduty list-detectors --query 'DetectorIds[0]' --output text)
$ echo $DETECTOR_ID

$ aws guardduty create-sample-findings --detector-id $DETECTOR_ID --finding-types "Backdoor:EC2/DenialOfService.Dns"