Insights y acciones personalizadas para hallazgos

Una lista extensa de hallazgos normalizados sigue siendo difícil de gestionar. Security Hub añade dos herramientas para convertir esa lista en acciones concretas: los insights, que agrupan hallazgos relacionados, y las custom actions, que permiten activar flujos de trabajo a partir de hallazgos seleccionados.

Un insight de Security Hub es una agrupación guardada de hallazgos recopilados mediante un filtro y un atributo de «group by». Por ejemplo, un insight podría agrupar los hallazgos activos por recurso para mostrar qué recursos presentan más problemas. Los insights revelan patrones que los hallazgos individuales ocultan.

Security Hub incluye managed insights listos para usar, como «AWS resources with the most findings» o «S3 buckets with public access». Estas agrupaciones prediseñadas ofrecen valor de inmediato y destacan los puntos críticos sin que tenga que definir nada.

También puede crear custom insights adaptados a sus necesidades, filtrando por cualquier campo de ASFF y agrupando por otro. Un equipo podría crear un insight para hallazgos de gravedad High agrupados por cuenta, centrando la atención exactamente donde se concentra el riesgo.

La agrupación convierte el ruido en prioridades. En lugar de desplazarse por miles de hallazgos, un insight le indica «estos cinco recursos concentran la mayor parte del riesgo». Esto orienta la corrección hacia las soluciones de mayor impacto y favorece la priorización que el examen considera importante.

Una custom action en Security Hub es un activador con nombre que se asocia a los hallazgos. Cuando un analista selecciona hallazgos y elige esa acción, Security Hub emite un evento a EventBridge. Este es el puente entre el triaje humano y la respuesta automatizada.

Cada custom action tiene su propio ARN y genera un evento de EventBridge que contiene los hallazgos seleccionados. A continuación, una regla de EventBridge dirige ese evento a un destino, como una función de Lambda, un flujo de trabajo de Step Functions o una integración con un sistema de tickets, para corregir el problema o escalarlo.

Las custom actions permiten una respuesta iniciada por el analista: una persona revisa el hallazgo y después hace clic para corregirlo. Para una respuesta totalmente automática, debe asociar directamente los hallazgos con reglas de EventBridge, de modo que la acción se ejecute sin intervención humana. Conocer ambos patrones le ayuda a elegir el adecuado.

Security Hub también ofrece automation rules que actualizan automáticamente los hallazgos; por ejemplo, pueden aumentar la gravedad o cambiar el estado del flujo de trabajo cuando se cumplen determinados criterios. Estas reglas refinan el flujo de hallazgos antes de que llegue a un analista o a una automatización posterior.

Las reglas de automatización se activan cuando un hallazgo coincide con criteria definidos en los campos de ASFF y, después, aplican cambios como establecer la gravedad, actualizar el estado del flujo de trabajo o añadir una nota. Por ejemplo, una regla podría suprimir automáticamente los hallazgos de baja gravedad procedentes de una cuenta de pruebas conocida. Esto refina el flujo de forma coherente, antes de que los analistas o las automatizaciones posteriores lo vean.

Para elegir entre ambos patrones, pregúntese si una persona debe revisar primero el hallazgo. Las custom actions son adecuadas para respuestas que requieren el criterio de un analista; las direct EventBridge rules son adecuadas para hallazgos claros y de gran volumen que deben corregirse de inmediato, sin esperar. Muchos equipos combinan ambos enfoques: corrigen automáticamente lo evidente y derivan lo ambiguo a los analistas mediante custom actions.

Relacione los hallazgos con la respuesta.

Los insights de Security Hub agrupan los hallazgos mediante un filtro y un atributo (administrados o personalizados) para mostrar dónde se concentra el riesgo. Las custom actions permiten que un analista envíe hallazgos seleccionados a EventBridge para responder a ellos, mientras que las reglas directas de EventBridge permiten una corrección totalmente automática y las automation rules actualizan automáticamente los hallazgos. En conjunto, convierten los hallazgos agregados en flujos de trabajo.