Amazon Inspectorの未改善の脆弱性検出結果をAWS Security Hub経由で、週次でメール通知してみた

{
    "Version": "2012-10-17",
    "Statement": [
        {
            "Effect": "Allow",
            "Action": [
                "securityhub:GetFindings",
                "securityhub:BatchGetSecurityControls",
                "securityhub:GetSecurityControlDefinition"
            ],
            "Resource": [
                "arn:aws:securityhub:*:012345678901:hub/default",
                "arn:aws:securityhub:*:012345678901:security-control/*",
                "arn:aws:securityhub:*:012345678901:findings/*"
            ]
        },
        {
            "Effect": "Allow",
            "Action": "sns:Publish",
            "Resource": "arn:aws:sns:ap-northeast-1:012345678901:test"
        }
    ]
} ]
}

import boto3

SNS_TOPIC_ARN = 'arn:aws:sns:ap-northeast-1:0123456789012:test'
SEVERITY_LEVELS = ['CRITICAL', 'HIGH', 'MEDIUM']

def get_inspector_findings():
    # Security Hubから検出結果を取得（ページネーション対応）
    securityhub = boto3.client('securityhub')
    all_findings = []
    paginator = securityhub.get_paginator('get_findings')

    for page in paginator.paginate(
        Filters={
            'ProductName': [{'Value': 'Inspector', 'Comparison': 'EQUALS'}],
            'RecordState': [{'Value': 'ACTIVE', 'Comparison': 'EQUALS'}],
            'SeverityLabel': [
                {'Value': level, 'Comparison': 'EQUALS'} 
                for level in SEVERITY_LEVELS
            ],
            'WorkflowStatus': [{'Value': 'NEW', 'Comparison': 'EQUALS'}]
        }
    ):
        all_findings.extend(page['Findings'])

    return all_findings

def group_findings_by_account(findings):
    # 検出結果をアカウントとリソースごとに整理
    findings_by_account = {}

    for finding in findings:
        account_id = finding.get('AwsAccountId')
        if account_id not in findings_by_account:
            findings_by_account[account_id] = {
                'findings': [],
                'resources': {}
            }
        findings_by_account[account_id]['findings'].append(finding)

        resource_id = finding['Resources'][0]['Id']
        if resource_id not in findings_by_account[account_id]['resources']:
            findings_by_account[account_id]['resources'][resource_id] = []
        findings_by_account[account_id]['resources'][resource_id].append(finding)

    return findings_by_account

def count_severity(findings):
    severity_count = {level: 0 for level in SEVERITY_LEVELS}

    for finding in findings:
        severity = finding.get('Severity', {}).get('Label')
        if severity in severity_count:
            severity_count[severity] += 1

    return severity_count

def create_message(account_id, account_data):
    findings = account_data['findings']
    total_findings = len(findings)
    total_severity_count = count_severity(findings)

    message_lines = [
        f"Inspectorの脆弱性検出アラート - 未改善の脆弱性レポート",
        f"アカウント: {account_id}",
        f"\n※このレポートは、以下の条件に該当する脆弱性を表示しています：",
        f"- 現在もアクティブな状態（修正未完了）",
        f"- ワークフローステータスが「NEW」",
        f"- 重要度が CRITICAL/HIGH/MEDIUM",
        f"\n検出された未改善の脆弱性の概要:",
        f"総脆弱性数: {total_findings}件"
    ]
    # アカウント全体の重要度別件数
    for severity in SEVERITY_LEVELS:
        message_lines.append(f"- {severity}: {total_severity_count[severity]}件")

    message_lines.append("\n【リソースごとの未改善の脆弱性件数】")
    # リソースごとの重要度別件数
    for resource_id, resource_findings in sorted(account_data['resources'].items()):
        severity_count = count_severity(resource_findings)
        message_lines.extend([
            f"\n■ {resource_id}",
            f"  総数: {len(resource_findings)}件"
        ])
        for severity in SEVERITY_LEVELS:
            message_lines.append(f"  - {severity}: {severity_count[severity]}件")

    message_lines.extend([
        "\n※これらの脆弱性は、検出されてから改善されていない状態が継続しています。",
        "早急な対応をご検討ください。"
    ])

    return '\n'.join(message_lines)

def send_notifications(findings_by_account):
    sns = boto3.client('sns')
    for account_id, account_data in findings_by_account.items():
        message = create_message(account_id, account_data)
        sns.publish(
            TopicArn=SNS_TOPIC_ARN,
            Subject=f'Inspector週次レポート（未改善の脆弱性） - Account: {account_id}',
            Message=message
        )

def lambda_handler(event, context):
    findings = get_inspector_findings()
    findings_by_account = group_findings_by_account(findings)
    send_notifications(findings_by_account)

    return {
        'statusCode': 200,
        'body': 'Successfully processed Inspector findings'
    }

Inspector週次レポート（未改善の脆弱性） - Account: 123456789012

Inspectorの脆弱性検出アラート - 未改善の脆弱性レポート
アカウント: 123456789012

※このレポートは、以下の条件に該当する脆弱性を表示しています：
- 現在もアクティブな状態（修正未完了）
- ワークフローステータスが「NEW」
- 重要度が CRITICAL/HIGH/MEDIUM

検出された未改善の脆弱性の概要:
総脆弱性数: 11件
- CRITICAL: 3件
- HIGH: 5件
- MEDIUM: 3件

【リソースごとの未改善の脆弱性件数】

■ arn:aws:ecr:ap-northeast-1:012345678901:repository/nginx-test/sha256:37c022aa2e42b98eb787cfe6be34e5457081c5b7693a4d8ea8fa43b2f07e1bbc
  総数: 8件
  - CRITICAL: 3件
  - HIGH: 3件
  - MEDIUM: 2件

■ arn:aws:ecr:ap-northeast-1:012345678901:repository/nginx/sha256:7ba542bde95e6523a4b126f610553e3657b8108bc3175596ee7e911ae1219bfc
  総数: 3件
  - CRITICAL: 0件
  - HIGH: 2件
  - MEDIUM: 1件

※これらの脆弱性は、検出されてから改善されていない状態が継続しています。
早急な対応をご検討ください。

--