Lambda für automatische Fehlerbehebung auslösen

AWS Lambda führt Ihren Code aus, ohne dass Sie Server verwalten müssen, und berechnet nur die Ausführungszeit. In der Sicherheitsautomatisierung ist Lambda das flexibelste Ziel für Behebungsmaßnahmen.

Wenn EventBridge einen Fund erkennt, ruft der Service eine Lambda-Funktion auf, die das Problem behebt – etwa durch das Isolieren einer Instanz, das Widerrufen eines Schlüssels oder das Schließen eines Buckets, und das innerhalb weniger Sekunden.

Das Muster ist konsistent: Ein Detektor erzeugt einen Fund, eine EventBridge-Regel erkennt ihn, und die Regel ruft eine Lambda-Funktion auf, wobei das Ereignis als Eingabe übergeben wird.

Die Funktion liest die Ereignisdetails, ermittelt die betroffene Ressource und ruft AWS-APIs zur Behebung auf. So wird aus Erkennung eine Korrektur – ganz ohne menschliches Eingreifen.

EventBridge übergibt der Funktion das vollständige Ereignis-JSON. Der Code extrahiert die benötigten Informationen – die Instance-ID, den Bucket-Namen und den problematischen Schlüssel – aus dem detail-Objekt.

Robuste Funktionen validieren diese Eingaben, denn eine Aktion aufgrund eines fehlerhaften oder unerwarteten Ereignisses könnte die falsche Ressource beheben.

Zu den gängigen Lambda-Behebungsmaßnahmen gehören:

• Eine kompromittierte Instance durch eine Quarantäne-Sicherheitsgruppe ersetzen.
• Einen offengelegten IAM-Zugriffsschlüssel deaktivieren.
• Block Public Access für einen exponierten Bucket aktivieren.
• Eine übermäßig weit gefasste Sicherheitsgruppenregel entfernen.

Jede dieser Maßnahmen besteht aus einigen API-Aufrufen, die die Funktion automatisch ausführt.

Eine Lambda-Funktion wird mit einer execution role ausgeführt. Gewähren Sie ihr nur die Berechtigungen, die für ihre Behebungsmaßnahme erforderlich sind – und keine weiteren.

Eine Funktion zur automatischen Behebung ist bewusst sehr mächtig, daher ist ihre Rolle ein bevorzugtes Angriffsziel. Eine enge Beschränkung der Rolle begrenzt den möglichen Schaden, falls die Funktion oder ihre Ereigniseingabe jemals missbraucht wird.

EventBridge kann ein Ereignis gelegentlich mehr als einmal übermitteln, und ein Fund kann erneut auftreten. Gestalten Sie die Behebung idempotent – sie muss also sicher wiederholt ausgeführt werden können.

Das Anwenden einer Quarantäne-Sicherheitsgruppe, die bereits zugeordnet ist, sollte einfach erfolgreich sein, ohne Nebenwirkungen zu verursachen. So führen doppelte Aufrufe weder zu Schäden noch zu Fehlern.

Automatisierte Aktionen können störend sein, daher sollten Sie Sicherheitsprüfungen einbauen. Die Funktion kann beispielsweise überprüfen, ob die Ressource ein bestimmtes Tag besitzt, geschützte Produktionssysteme überspringen oder einen Schweregrad voraussetzen, der bereits durch das Muster gefiltert wurde.

Manche Teams verlangen für destruktive Aktionen zusätzlich eine Genehmigung, um eine außer Kontrolle geratene Automatisierung zu verhindern.

Jede Behebungsmaßnahme muss nachvollziehbar sein. Lassen Sie die Funktion in CloudWatch Logs schreiben und optional über SNS mitteilen, was sie getan hat und auf welcher Ressource.

Zusammen mit der Aufzeichnung der API-Aufrufe durch CloudTrail ergibt sich so ein vollständiger Datensatz automatisierter Reaktionen für Audits und die Nachbereitung von Vorfällen.

Eine Behebungsmaßnahme kann fehlschlagen – etwa aufgrund fehlender Berechtigungen, einer gedrosselten API oder einer gelöschten Ressource. Konfigurieren Sie Wiederholungen und eine dead-letter queue, damit fehlgeschlagene Aufrufe nicht verloren gehen.

Die Funktion sollte außerdem eine Person benachrichtigen, wenn sie die Maßnahme nicht abschließen kann. So wird eine fehlgeschlagene automatische Behebung eskaliert, anstatt eine Bedrohung unbemerkt unbehandelt zu lassen.

Damit EventBridge Ihre Funktion aufrufen kann, benötigt die Regel dafür eine Berechtigung. Diese wird durch eine resource-based policy für die Lambda-Funktion erteilt, die dem EventBridge-Service vertraut.

Die eigene execution role der Funktion legt fest, was sie nach dem Start tun darf. Die Aufrufberechtigung bestimmt dagegen, wer sie auslösen darf. Beide müssen vorhanden sein, damit die Pipeline funktioniert.

Testen Sie Behebungsfunktionen mit Beispielereignissen in einem Nicht-Produktionskonto, bevor Sie ihnen echte Vorfälle anvertrauen.

Überprüfen Sie, ob sie auf die richtige Ressource zugreifen, ihre Sicherheitsvorkehrungen einhalten und korrekt protokollieren. Eine fälschlich ausgelöste Automatisierung kann ebenso sicher einen Ausfall verursachen wie ein Angreifer. Daher ist eine Validierung unerlässlich.

Warum ist Idempotenz wichtig?

AWS Lambda ist das flexible Ziel, das eine automatische Behebung durchführt, wenn eine EventBridge-Regel einen Fund erkennt. Die Funktion liest die Ereignis-details, ermittelt die Ressource und ruft APIs auf, um das Problem zu beheben – etwa durch das Isolieren von Instances, das Deaktivieren von Schlüsseln oder das Absichern von Buckets. Statten Sie sie mit einer execution role nach dem Prinzip der geringsten Rechte aus, gestalten Sie Aktionen idempotent, ergänzen Sie Sicherheitsvorkehrungen und Protokollierung, behandeln Sie Fehler mit einer DLQ und Benachrichtigungen und testen Sie alles gründlich, bevor Sie die Funktion in der Produktion einsetzen.