Sådan dirigerer EventBridge sikkerhedshændelser

Amazon EventBridge er en serverløs hændelsesbus, der forbinder hændelser fra AWS-tjenester med mål, som reagerer på dem.

Af sikkerhedshensyn fungerer den som forbindelsen mellem registrering og respons: En konstatering fra GuardDuty bliver til en hændelse, EventBridge dirigerer den, og et mål som Lambda afhjælper automatisk problemet — alt sammen på få sekunder.

En hændelse er en JSON-meddelelse, der beskriver noget, som er sket — en konstatering er oprettet, en ressource er ændret, eller et API er kaldt.

AWS-tjenester udsender automatisk hændelser. Hver hændelse indeholder en kilde, en detail-type og et detail-objekt med detaljer, som tilsammen gør det muligt at matche og dirigere præcist.

Hændelser ankommer til en hændelsesbus. Hver konto har en standardbus til hændelser fra AWS-tjenester, og du kan oprette brugerdefinerede busser til dine egne applikationer eller partnerintegrationer.

Ved at adskille busser holdes hændelsestrafikken organiseret, og du kan anvende forskellige regler og tilladelser på forskellige strømme.

En regel overvåger en bus og matcher hændelser mod et hændelsesmønster. Når en hændelse matcher, sender reglen den til ét eller flere mål.

Denne dirigering fra kilde til mål er kernen i automatiseret sikkerhed: Den afgør, hvilke konstateringer der udløser hvilke svar, uden polling eller brugerdefineret kode til at lytte efter hændelser.

Regler kan levere matchede hændelser til mange mål:

• Lambda-funktioner til brugerdefineret afhjælpning.
• SNS-emner til at underrette et team.
• Step Functions til arbejdsgange i flere trin.
• Automatiseringsdokumenter til Systems Manager.

Én hændelse kan forgrene sig til flere mål på én gang.

EventBridge muliggør mønsteret for sikkerhedsautomatisering: En detektor (GuardDuty, Macie, Config, Security Hub) udsender en konstatering, en regel matcher den, og et mål afhjælper problemet eller sender en alarm.

Det omdanner manuel vurdering til øjeblikkelig og ensartet handling og reducerer markant den tid, en angriber har mellem registrering og inddæmning.

EventBridge leverer hændelser næsten i realtid og er fuldt serverløs — du skal ikke administrere infrastruktur, og den skalerer automatisk.

Det er denne hastighed, der gør automatisk afhjælpning mulig: En konstatering med høj alvorlighed kan føre til, at en ressource isoleres få sekunder efter registreringen, langt hurtigere end en menneskelig reaktion.

EventBridge kan sende hændelser fra medlemskonti til bussen på en central sikkerhedskonto.

Det centraliserer registrering og respons: Konstateringer fra en hel organisation lander på én bus, hvor fælles regler og afhjælpningslogik håndterer dem ensartet i stedet for at duplikere automatiseringen på hver konto.

Ud over tjenestehændelser understøtter EventBridge planlagte regler (cron-lignende) til at køre periodiske sikkerhedskontroller, og den registrerer CloudTrail API-hændelser, så du kan reagere på bestemte API-kald.

En regel kan for eksempel udløses, hver gang nogen deaktiverer en sikkerhedskontrol, og derved udløse en øjeblikkelig alarm.

EventBridge kan transformere en hændelse, før den sendes til et mål, ved at omforme eller beskære JSON, så målet modtager præcis det, det forventer.

Det gør det muligt at sende én konstatering til en meddelelse med en letforståelig tekst og til en afhjælpende Lambda med rå detaljer uden at skrive forbindelseskode, der tilpasser nyttedataene undervejs.

Til robust automatisering tilbyder EventBridge genforsøg og en kø med fejlslagne meddelelser (DLQ) til hændelser, der ikke kan leveres.

Det sikrer, at en midlertidig fejl ikke ubemærket kasserer en vigtig sikkerhedshandling — en mislykket afhjælpning lander i DLQ'en til gennemgang i stedet for at forsvinde ubemærket.

Amazon EventBridge er en serverløs hændelsesbus, der dirigerer hændelser fra AWS-tjenester til mål ved hjælp af regler og hændelsesmønstre. Den forbinder registrering og respons: En konstatering fra GuardDuty eller Macie matcher en regel og udløser et Lambda-, SNS- eller Step Functions-mål næsten i realtid. Den understøtter dirigering på tværs af konti til en sikkerhedskonto, planlagte og API-drevne regler samt genforsøg understøttet af DLQ'er for pålidelig automatisering.