まえおき

AWSへのサインインはIP制限ができないので、イベント検知したかった。（IAMユーザー含む）
※ AWSリソースに対するIP制限はできるが、サインインそのものにはIP制限できないとのこと。（2018年5月15日時点のAWSサポートからの回答より）
　　
すべてのアカウントにMFAが適用されているかどうかを確認したかった。
想定外の場所からサインインされていないかを確認したかった。
　
Amazon SNSのメール通知で試したところ、JSON形式のままメール本文に記載されていたため、読みづらかったので、Slack通知に変えて見やすくしたかった。
サインインの失敗や想定外のアクセス元IPアドレスなどを、Slackのメンションを使って気付きやすくしたかった。

全体の流れ

1.AWS CloudTrail
※Amazon Simple Storage Service （S3）
↓
2.Amazon CloudWatch Events
↓
3.Amazon Simple Notification Service （SNS）
↓
4.AWS Lambda
※AWS Key Management Service （KMS）も併用。
↓
5.Slack

▼ログイン成功時のSlack通知（AWSアカウントの場合）

※モザイク部分はアクセス元のIPアドレスです。

▼ログイン失敗時のSlack通知（IAMユーザーの場合）

※モザイク部分はIAMユーザー名とアクセス元のIPアドレスです。

設定

処理の流れに沿って書いていますが、実際は逆順から設定する必要があります。

指定したリージョン

米国東部（バージニア北部）

サインインイベントは、このリージョンに対して記録されているため。
（理由は調査中。違う事例もあるのかも）

1.AWS CloudTrail

AWS アカウント内で行われた操作のイベントログを記録する。ここでサインインイベントが記録される。

証跡を作成する
作成した証跡のストレージの場所として、Amazon S3を使用

2.Amazon CloudWatch Events

ルールに一致したイベントを 1 つ以上のターゲット関数またはストリームに振り分ける。ここでサインインイベントを拾って、Amazon SNSに投げる。

ルールを作成する

※ 先にトピックを作っておく必要がある（後述の3を参照）

3.Amazon Simple Notification Service （SNS）

サブスクライブしているエンドポイントまたはクライアントへのメッセージを配信する。ここで受けたメッセージをAWS Lambdaに配信する。

トピックを作成する

作成したトピックにて、サブスクリプションを作成する
- プロトコルに「AWS Lambda」を指定
- エンドポイントに関数を指定

※ 先に関数を作っておく必要がある（後述の4を参照）

4.AWS Lambda

サーバーレスでコードを実行する。ここでAmazon SNSから受けたメッセージを元に、Slackにメッセージを送る。

関数を作成する

[基本的な情報]は任意入力
[SNS トリガー]は下記の通り

[Lambda 関数のコード]
- ランタイム
  - processEvent関数の部分を編集する

function processEvent(event, callback) {
    const message = JSON.parse(event.Records[0].Sns.Message);

    const eventName = message.detail.eventName
    if (eventName !== 'ConsoleLogin') {
        return;
    }

    const eventTime = message.detail.eventTime;
    const sourceIPAddress = message.detail.sourceIPAddress;
    const region = message.region;
    const awsRegion = message.detail.awsRegion;

    const userType = message.detail.userIdentity.type;
    let loginUser;
    if (userType == 'Root') {
        loginUser = userType;
    } else if (userType == 'IAMUser') {
        let userName = message.detail.userIdentity.userName;
        loginUser = `${userType}:${userName}`;
    }

    const ConsoleLogin = message.detail.responseElements.ConsoleLogin;
    let color;
    let mention = '';
    switch (ConsoleLogin) {
        case 'Success':
            color = 'good';
            break;
        case 'Failure':
            color = 'warning';
            mention = '<!here|here>';
            break;
        default:
            color = 'danger';
            mention = '<!channel|channel>';
            break;
    }

    const MFAUsed = message.detail.additionalEventData.MFAUsed;
    let MFALog;
    if (MFAUsed == 'Yes') {
        MFALog = 'MFAUsed';
    } else {
        MFALog = 'Not MFA';
    }

    const slackMessage = {
        "channel": slackChannel,
        "username": `AWS通知(${eventName})`,
        "text": `${mention}`,
        "attachments": [
            {
                "color": color,
                "fields": [
                    {
                        "title": "eventTime",
                        "value": `${eventTime}`,
                        "short": true
                    },
                    {
                        "title": "ConsoleLoginResult(MFA)",
                        "value": `${ConsoleLogin}(${MFALog})`,
                        "short": true
                    },
                    {
                        "title": "loginUser(sourceIPAddress)",
                        "value": `${loginUser} (${sourceIPAddress})`,
                        "short": true
                    },
                    {
                        "title": "region:awsRegion",
                        "value": `${region}:${awsRegion}`,
                        "short": true
                    }
                ]
            }
        ]
    };

    postMessage(slackMessage, (response) => {
        if (response.statusCode < 400) {
            console.info('Message posted successfully');
            callback(null);
        } else if (response.statusCode < 500) {
            console.error(`Error posting message to Slack API: ${response.statusCode} - ${response.statusMessage}`);
            callback(null);  // Don't retry because the error is due to a problem with the request
        } else {
            // Let Lambda retry
            callback(`Server error when processing message: ${response.statusCode} - ${response.statusMessage}`);
        }
    });
}

↓↓↓↓↓

Slackに出力しているメッセージ内容は下記となります。

項目名	内容
eventTime	サインインした日時
ConsoleLoginResult(MFA)	ログイン結果とMFAの使用有無
loginUser(sourceIPAddress)	ログインユーザーとアクセス元IPアドレス
region:awsRegion	リージョン