企业官网建设流程全解析

GuardDuty-Sentinel-Integration架构解析：两种ingestion路径如何提升安全监控效率

【免费下载链接】guardduty-sentinel-integration项目地址: https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integration

GuardDuty-Sentinel-Integration是一款为Microsoft Sentinel提供AWS GuardDuty findings生产级摄入和KQL解析层的解决方案，支持两种摄入路径：原生AWS S3连接器（轮询）和通过Log Analytics Data Collector API的直接Lambda推送，助力提升安全监控效率。

两种核心ingestion路径解析

S3连接器路径（托管轮询模式）

S3连接器路径是一种托管的轮询模式。Microsoft Sentinel可通过AWS S3连接器摄入GuardDuty数据，该连接器会创建所需的AWS资源，实现对GuardDuty findings的获取。不过，在实际应用中，团队可能会面临一些挑战。AWS GuardDuty findings导出到S3时通常使用KMS进行静态加密，Microsoft Sentinel AWS S3连接器需要解密这些文件才能读取GuardDuty findings，这就需要正确配置相关权限。在部署过程中，需确保Microsoft Sentinel AWS S3连接器已安装，并针对GuardDuty数据类型进行配置，具体可参考Connector Setup中关于AWS S3连接器配置的详细步骤。

Lambda直接推送路径（实时亚分钟模式）

Lambda直接推送路径是一种实时的亚分钟模式。通过EventBridge规则触发Lambda，该Lambda会对findings进行转换，并通过Log Analytics Data Collector API直接POST到Microsoft Sentinel，实现亚分钟级的低延迟数据摄入。此路径中，scripts/lambda_ingestion_handler.py发挥着重要作用，它实现了通过Log Analytics Data Collector API从EventBridge到Sentinel的直接推送，并且使用HMAC-SHA256认证方式向Log Analytics Data Collector API发送数据。

两种路径如何提升安全监控效率

S3连接器路径作为托管模式，易于配置和管理，适合对实时性要求不是特别高的场景。而Lambda直接推送路径则以其实时性和低延迟的特点，能够让安全团队更快地获取GuardDuty findings，及时发现和响应安全威胁。两种路径的存在，使得用户可以根据自身的业务需求和安全监控目标，选择最适合的摄入方式，或者结合使用，从而全面提升安全监控的效率和灵活性。在实际部署中，可参考docs/deployment-runbook.md中关于Microsoft Sentinel工作区配置AWS S3连接器的相关内容，确保两种路径能够顺利协同工作。同时，当遇到问题时，docs/troubleshooting.md中关于AWS S3连接器状态等方面的排查方法也能提供帮助。

总结

GuardDuty-Sentinel-Integration提供的两种ingestion路径，为AWS GuardDuty findings接入Microsoft Sentinel提供了灵活且高效的解决方案。无论是托管轮询的S3连接器路径，还是实时亚分钟的Lambda直接推送路径，都各有其优势和适用场景。通过合理选择和配置，能够有效提升安全监控的效率，让安全团队更好地应对各种安全挑战。如果需要部署该项目，可通过git clone https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integration获取仓库代码。

【免费下载链接】guardduty-sentinel-integration项目地址: https://gitcode.com/gh_mirrors/gu/guardduty-sentinel-integration