Amazon Inspector 告警集成

Amazon Inspector 在发现新漏洞或状态变化时向 Amazon EventBridge 发送 Inspector2 Finding 事件。Flashduty 的 AWS EventBridge 集成能识别这类事件：每条发现生成一条告警，状态变为 CLOSED 或 SUPPRESSED 时自动恢复。因此不需要单独的 Inspector 集成：在 Flashduty 创建 AWS EventBridge 集成，再在 EventBridge 中建一条规则把 Inspector 事件转给它。

在 AWS 中配置

在 Amazon EventBridge 中创建指向 Flashduty 的 API destination

API destination（推荐）
SNS 主题

操作路径：Amazon EventBridge › Integration › API destinations › Connections › Create connection

字段	填写
Connection name（必填）	`Flashduty`
Destination type（必填，位于 Authorization）	`Other`
Authorization type（必填）	`API Key`
API key name（必填）	`Flashduty`
Value（必填）	`{integration_key}`，即推送地址中的 `integration_key`

点击 Create 保存。操作路径：Amazon EventBridge › Integration › API destinations › Create API destination

字段	填写
Name（必填）	`Flashduty`
API destination endpoint（必填）	`{integration_url}`
HTTP method（必填）	`POST`
Connection type（必填）	`Use an existing connection`，选择上面创建的 `Flashduty`

点击 Create 保存。

操作路径：Amazon SNS › Subscriptions › Create subscription（主题不存在时先到 Topics › Create topic，Type 选择 Standard）

字段	填写
Topic ARN（必填）	用于转发 EventBridge 事件的 SNS 主题
Protocol（必填）	`HTTPS`
Endpoint（必填）	`{integration_url}`，须是本集成的推送地址

点击 Create subscription，等待订阅状态变为 Confirmed。Flashduty 只访问 sns.<region>.amazonaws.com、sns.<region>.amazonaws.com.cn 和 sns.<region>.amazonaws.eu 上的订阅确认地址。SNS 主题和订阅的完整步骤见 AWS CloudWatch 集成。

在 Amazon EventBridge 中创建 Inspector 事件规则

操作路径：Amazon EventBridge › Rules › Create rule › Advanced Builder

字段	填写
Builder（控制台提供选择时）	`Advanced Builder`
Name（必填）	自定义名称，例如 `Flashduty-Inspector`
Event bus	`AWS default event bus`
Rule type（必填）	`Rule with an event pattern`，点击 Next
Event source（必填）	`AWS events or EventBridge partner events`
Creation method / Method（必填）	`Custom pattern (JSON editor)`
Event pattern（必填）	粘贴下方事件模式，点击 Next
Target type（必填）	`EventBridge API destination`，选择 `Use an existing API destination` 和上一步创建的 `Flashduty`（SNS 方式选择 `AWS service` › `SNS topic` 和该主题）
Execution role（必填）	`Create a new role for this specific resource`
Input transformer	不要配置，保持发送完整事件

事件模式：

{
  "source": ["aws.inspector2"],
  "detail-type": ["Inspector2 Finding"]
}

如果只关心高危发现，可以按严重程度过滤：

{
  "source": ["aws.inspector2"],
  "detail-type": ["Inspector2 Finding"],
  "detail": {
    "severity": ["HIGH", "CRITICAL"]
  }
}

不要在模式里加 "status": ["ACTIVE"]。Inspector 官方文档的通知示例用它来只接收活跃发现，但发现关闭时发出的 CLOSED 事件也会被过滤掉，Flashduty 收不到恢复事件，告警无法自动恢复。

Inspector 的其他事件（Inspector2 Scan、Inspector2 Coverage、Inspector2 AutoEnable）不是发现，不要转发到 Flashduty；上面的 detail-type 已经把它们排除在外。Inspector 把事件发到启用 Inspector 的每个区域的默认事件总线，规则要在每个区域分别创建。

构造一条 Inspector 测试事件并确认

操作路径：能访问 Flashduty 推送地址的终端规则只会转发 AWS 真实产生的事件。要立即验证，可以向推送地址 POST 一条按事件格式构造的测试事件：

curl -X POST '{integration_url}' \
  -H 'Content-Type: application/json' \
  -d '{"version":"0","id":"flashduty-test-1","detail-type":"Inspector2 Finding","source":"aws.inspector2","account":"123456789012","region":"us-east-1","resources":[],"detail":{"findingArn":"arn:aws:inspector2:us-east-1:123456789012:finding/flashduty-test","status":"ACTIVE","severity":"HIGH","type":"PACKAGE_VULNERABILITY","title":"Flashduty integration test","awsAccountId":"123456789012","resources":[{"id":"i-0123456789abcdef0","type":"AWS_EC2_INSTANCE"}]}}'

把 status 改为 CLOSED 再发送一次，可确认告警自动恢复。几秒后回到 Flashduty，集成显示 最新事件时间，说明配置成功。

字段映射

以下映射来自 Flashduty 对 AWS EventBridge 事件的处理：

Inspector 字段	Flashduty
`detail.findingArn`	Alert Key。发现更新时 ID 不变，后续事件合并到同一条告警
`detail.status`	`CLOSED` 或 `SUPPRESSED` 时恢复告警；`ACTIVE` 触发或更新告警
`detail.title`	标签 `summary`（告警标题固定为 `aws.inspector2 / Inspector2 Finding`）
`detail.severity`	标签 `inspector_severity`；告警等级固定为 Warning，可用告警处理 Pipeline 按该标签改写
`detail.type`	标签 `finding_type`（如 `PACKAGE_VULNERABILITY`、`NETWORK_REACHABILITY`、`CODE_VULNERABILITY`）
`detail.resources[0].id`、`detail.resources[0].type`	标签 `resource`、`resource_type`
`detail.awsAccountId`、`detail.findingArn`、`detail.status`	标签 `aws_account_id`、`finding_arn`、`finding_status`
事件的 `source`、`region`、`account`、`detail-type`、`detail`、`resources`	标签 `source`、`region`、`account`、`check`、`detail`、`resources`

恢复与去重

Inspector 在漏洞被修复、发现状态变化时对同一个 findingArn 再发一次事件。status 为 CLOSED（已修复）或 SUPPRESSED 时，Flashduty 关闭对应告警。
如果账号是 Inspector 的委派管理员，成员账号的发现也会发到管理员账号，可以用标签 aws_account_id 区分来源账号。
事件缺少 detail.findingArn 时，Flashduty 返回 HTTP 400。
代码漏洞类发现的 detail 里含有文件路径和检测器名称，会随 detail 标签一起进入告警。

排查问题

API destination 调用失败：确认 endpoint 是完整推送地址且包含 integration_key，HTTP method 为 POST
告警没有恢复：检查规则的事件模式是否按 status 过滤，以及目标是否配置了 Input transformer（需要发送完整事件）
没有收到某个区域的发现：Inspector 只向所在区域的事件总线发事件，需要在每个启用 Inspector 的区域创建规则

快速开始

产品对比

协作空间

故障管理

故障复盘

状态页

分析看板

集成配置

配置中心

高级功能

集成中心

最佳实践

Amazon Inspector 告警集成

在 Flashduty On-call

使用专属集成

使用共享集成

在 AWS 中配置

字段映射

恢复与去重

排查问题