تشغيل Lambda للمعالجة التلقائية

تشغّل AWS Lambda التعليمات البرمجية الخاصة بكم من دون إدارة خوادم، ولا تفرض رسومًا إلا مقابل وقت التنفيذ. وفي الأتمتة الأمنية، تُعد أكثر أهداف المعالجة التصحيحية مرونة.

عندما يطابق EventBridge finding، فإنه يستدعي دالة Lambda تنفذ الإصلاح — مثل عزل مثيل، أو إبطال مفتاح، أو إغلاق حاوية — خلال ثوانٍ.

النمط ثابت: يُصدر كاشفٌ نتيجة، وتطابقها قاعدة EventBridge، ثم تستدعي القاعدة دالة Lambda مع تمرير الحدث كمدخل.

تقرأ الدالة تفاصيل الحدث، وتحدد المورد المتأثر، ثم تستدعي واجهات AWS البرمجية لإجراء المعالجة. وهكذا يتحول الاكتشاف إلى تصحيح من دون تدخل بشري.

تسلّم EventBridge كائن JSON الكامل للحدث إلى الدالة. وتستخرج الشفرة ما تحتاج إليه — معرّف المثيل، واسم الحاوية، والمفتاح المخالف — من الكائن detail.

تتحقق الدوال المتينة من صحة هذه المدخلات، لأن التعامل مع حدث مشوّه أو غير متوقع قد يؤدي إلى معالجة المورد الخطأ.

تشمل إجراءات المعالجة الشائعة عبر Lambda ما يلي:

• استبدال مجموعة الأمان في مثيل مخترق بمجموعة أمان للعزل.
• تعطيل مفتاح وصول IAM مسرّب.
• تمكين Block Public Access على حاوية مكشوفة.
• إزالة قاعدة في مجموعة أمان تمنح صلاحيات مفرطة.

كل إجراء منها يتطلب بضعة استدعاءات لواجهات API تنفذها الدالة تلقائيًا.

تعمل دالة Lambda باستخدام دور تنفيذ. امنحها فقط الأذونات التي تتطلبها المعالجة — ولا شيء أكثر.

صُممت دالة المعالجة التلقائية لتكون قوية، ولذلك يُعد دورها هدفًا رئيسيًا. ويحد تقييد نطاقه بدقة من الضرر إذا أسيء استخدام الدالة أو مدخل الحدث.

قد يسلّم EventBridge الحدث نفسه أكثر من مرة من حين إلى آخر، وقد تتكرر النتيجة. اجعل المعالجة قابلة للتنفيذ المتكرر بأمان.

ينبغي أن ينجح تطبيق مجموعة أمان للعزل مرتبطة بالمثيل بالفعل ببساطة ومن دون آثار جانبية، بحيث لا تتسبب الاستدعاءات المكررة في أضرار أو أخطاء.

قد تكون الإجراءات التلقائية مُعطِّلة، لذا أضف فحوصات أمان. يمكن للدالة التحقق من أن المورد يحمل وسمًا محددًا، أو تخطي أنظمة الإنتاج المحمية، أو اشتراط حد معين للخطورة تكون القاعدة قد صفّت النتائج وفقًا له مسبقًا.

تضع بعض الفرق الإجراءات التدميرية خلف خطوة موافقة لمنع الأتمتة المنفلتة.

يجب أن يترك كل إجراء معالجة أثرًا. اجعل الدالة تكتب إلى CloudWatch Logs، وأن تُرسل اختياريًا عبر SNS إشعارًا بما نفذته والمورد الذي نفذت عليه الإجراء.

وبالاقتران مع تسجيل CloudTrail لاستدعاءات API، يوفر ذلك سجلًا كاملًا للاستجابات التلقائية، يفيد في التدقيق والمراجعة بعد الحوادث.

قد تفشل المعالجة بسبب نقص في الأذونات، أو اختناق في API، أو حذف المورد. اضبط عمليات إعادة المحاولة وقائمة انتظار الرسائل الميتة حتى لا تضيع الاستدعاءات الفاشلة.

ينبغي للدالة أيضًا تنبيه شخص عند تعذر إكمالها، بحيث تُصعّد المعالجة التلقائية الفاشلة الأمر بدلًا من ترك التهديد من دون معالجة بصمت.

لكي يتمكن EventBridge من استدعاء دالتك، تحتاج القاعدة إلى إذن لاستدعائها — ويُمنح هذا الإذن من خلال سياسة قائمة على المورد على Lambda، تثق بخدمة EventBridge.

يحدد دور التنفيذ الخاص بالدالة ما يمكنها فعله بعد تشغيلها، بينما يحدد إذن الاستدعاء من يُسمح له بتشغيلها. ويجب توفر كليهما حتى يعمل المسار.

اختبر دوال المعالجة باستخدام أحداث نموذجية في حساب غير مخصص للإنتاج قبل الوثوق بها للتعامل مع حوادث حقيقية.

تحقق من أنها تتعامل مع المورد الصحيح، وتحترم ضوابط الأمان، وتسجل الأحداث بصورة صحيحة. فالأتمتة التي تعمل على نحو خاطئ قد تتسبب في انقطاع الخدمة بقدر ما قد يتسبب به مهاجم، ولذلك يُعد التحقق أمرًا أساسيًا.

لماذا قابلية التنفيذ المتكرر بأمان؟

تُعد AWS Lambda الهدف المرن الذي ينفذ المعالجة التلقائية عندما تطابق قاعدة EventBridge نتيجة. تقرأ الدالة detail الخاص بالحدث، وتحدد المورد، ثم تستدعي واجهات API لإصلاحه — مثل عزل المثيلات، أو تعطيل المفاتيح، أو إغلاق الحاويات. امنحها دور تنفيذ بأقل صلاحيات، واجعل الإجراءات قابلة للتنفيذ المتكرر بأمان، وأضف ضوابط أمان وتسجيلًا، وتعامل مع حالات الفشل باستخدام DLQ والتنبيهات، واختبرها جيدًا قبل الوثوق بها في بيئة الإنتاج.