Activación de Lambda para la corrección automática

AWS Lambda ejecuta su código sin que tenga que administrar servidores y solo cobra por el tiempo de ejecución. En la automatización de seguridad, es el destino de corrección más flexible.

Cuando EventBridge coincide con un hallazgo, invoca una función Lambda que realiza la corrección: aísla una instancia, revoca una clave o cierra un bucket en cuestión de segundos.

El patrón es coherente: un detector emite un hallazgo, una regla de EventBridge lo detecta y la regla invoca una función de Lambda pasando el evento como entrada.

La función lee los detalles del evento, identifica el recurso afectado y llama a las API de AWS para remediarlo. La detección se convierte en corrección sin intervención humana.

EventBridge entrega todo el JSON del evento a la función. El código extrae lo que necesita —el ID de la instancia, el nombre del bucket o la clave problemática— del objeto detail.

Las funciones robustas validan esta entrada, porque actuar sobre un evento incorrecto o inesperado podría remediar el recurso equivocado.

Entre las remediaciones habituales con Lambda se incluyen:

• Sustituir el grupo de seguridad de una instancia comprometida por uno de cuarentena.
• Deshabilitar una clave de acceso de IAM expuesta.
• Habilitar Block Public Access en un bucket expuesto.
• Eliminar una regla de grupo de seguridad con permisos excesivos.

En cada caso, la función realiza automáticamente unas pocas llamadas a la API.

Una función de Lambda se ejecuta con un execution role. Concédale únicamente los permisos que requiere su remediación, nada más.

Una función de autorremediación es potente por diseño, por lo que su rol es un objetivo prioritario. Limitarlo estrictamente reduce los daños si alguna vez se abusa de la función o de los datos de entrada de su evento.

En ocasiones, EventBridge puede entregar un evento más de una vez y un hallazgo puede volver a aparecer. Haga que la remediación sea idempotent, es decir, segura al ejecutarse repetidamente.

Aplicar un grupo de seguridad de cuarentena que ya está asociado debería completarse correctamente y sin efectos secundarios, para que las invocaciones duplicadas nunca causen daños ni errores.

Las acciones automatizadas pueden ser disruptivas, así que debe añadir comprobaciones de seguridad. La función podría verificar que el recurso tenga una etiqueta específica, omitir los sistemas de producción protegidos o requerir un umbral de gravedad que el patrón ya haya filtrado.

Algunos equipos supeditan las acciones destructivas a un paso de aprobación para evitar una automatización descontrolada.

Cada remediación debe dejar un rastro. Haga que la función escriba en CloudWatch Logs y, opcionalmente, notifique mediante SNS qué hizo y sobre qué recurso.

Junto con CloudTrail, que registra las llamadas a la API, esto proporciona un registro completo de las respuestas automatizadas para auditorías y revisiones posteriores a incidentes.

La remediación puede fallar: por falta de permisos, una API limitada o un recurso eliminado. Configure reintentos y una dead-letter queue para que no se pierdan las invocaciones fallidas.

La función también debería alertar a una persona cuando no pueda completar la tarea, de modo que una autorremediación fallida se escale en lugar de dejar silenciosamente una amenaza sin resolver.

Para que EventBridge llame a su función, la regla necesita permiso para invocarla. Este permiso se concede mediante una resource-based policy en Lambda que confía en el servicio de EventBridge.

El propio execution role de la función determina lo que puede hacer una vez que se ejecuta, mientras que este permiso de invocación determina quién puede activarla. Ambos deben estar configurados para que la canalización funcione.

Pruebe las funciones de remediación con eventos de ejemplo en una cuenta que no sea de producción antes de confiarles incidentes reales.

Verifique que actúen sobre el recurso correcto, respeten sus controles de seguridad y registren la información correctamente. Una automatización que se activa de forma incorrecta puede provocar una interrupción con la misma certeza que un atacante, por lo que la validación es esencial.

¿Por qué es importante la idempotencia?

AWS Lambda es el destino flexible que realiza la autorremediación cuando una regla de EventBridge coincide con un hallazgo. La función lee el detail del evento, identifica el recurso y llama a las API para corregirlo: pone instancias en cuarentena, deshabilita claves o bloquea el acceso público de buckets. Asígnele un execution role con privilegios mínimos, haga que las acciones sean idempotent, añada controles de seguridad y registro, gestione los errores con una DLQ y alertas, y realice pruebas exhaustivas antes de confiar en ella en producción.