Coincidencia de hallazgos con patrones de eventos

No querrá reaccionar a todos los eventos, sino únicamente a los importantes. Un patrón de eventos es el filtro que determina sobre qué eventos actúa una regla.

Un patrón preciso garantiza que la automatización se active exactamente cuando aparece una amenaza real y permanezca inactiva en los demás casos, evitando tanto las alertas omitidas como las activaciones falsas y ruidosas.

Un patrón de eventos es un JSON que refleja la estructura de los eventos con los que coincide. Especifique los campos y valores que le interesan; un evento solo coincide si todos los campos especificados coinciden.

Los campos que omita se ignoran, por lo que un patrón puede ser tan general o específico como necesite.

El filtro más habitual es source, por ejemplo «aws.guardduty» o «aws.macie».

Al combinarlo con detail-type, los eventos se restringen a un tipo específico de un servicio concreto. Es el punto de partida natural para cualquier regla de seguridad antes de precisarla más.

A menudo querrá actuar únicamente ante hallazgos graves. Al comparar campos anidados en detail, un patrón puede exigir, por ejemplo, una gravedad de GuardDuty igual o superior a un umbral.

EventBridge admite la comparación numérica, como la comparación de valores mayores, por lo que una regla puede activarse solo ante hallazgos de gravedad alta e ignorar el ruido de bajo riesgo.

Los patrones admiten operadores más avanzados: coincidencia por prefix, comprobaciones de exists, anything-but y coincidencia de direcciones IP mediante CIDR.

Estos operadores permiten expresar condiciones precisas: hacer coincidir cualquier tipo de hallazgo que comience por «UnauthorizedAccess» o cualquier evento cuyo campo de región exista, pero no corresponda a su región principal.

GuardDuty genera decenas de tipos de hallazgo, como Recon, CryptoCurrency o InstanceCredentialExfiltration.

Al hacer coincidir el campo detail.type, puede enrutar distintas amenazas a diferentes correcciones: el robo de credenciales a una función Lambda y la minería de criptomonedas a otra, para que cada amenaza reciba la respuesta adecuada.

Un patrón que nunca coincide es un fallo silencioso. Utilice el sandbox de la consola de EventBridge para pegar un evento de ejemplo y confirmar que el patrón coincide con él.

Probar con muestras reales de eventos antes de implementar evita el caso embarazoso y peligroso de que la automatización simplemente nunca se active.

Un patrón demasiado general activa la corrección ante eventos benignos y provoca interrupciones; imagine aislar instancias ante cada hallazgo informativo de gravedad baja.

Defina los patrones para que abarquen amenazas reales. La clave está en hacer coincidir lo suficiente para detectar incidentes reales y excluir al mismo tiempo el ruido habitual que no debería activar una acción automatizada.

La misma sintaxis de patrones funciona con cualquier origen de eventos: cambios en el cumplimiento de reglas de Config, hallazgos de Security Hub, descubrimientos de Macie o llamadas específicas a la API de CloudTrail.

Aprender los patrones de eventos una sola vez le permite crear automatizaciones de seguridad en todo su entorno de AWS mediante un único lenguaje de coincidencia coherente.

En lugar de crear un único patrón enorme que intente detectar todo, cree varias reglas específicas, cada una con su propio patrón y destino.

Una regla aísla instancias ante hallazgos relacionados con credenciales; otra solo genera alertas ante actividades de reconocimiento de gravedad baja; otra reacciona a descubrimientos de Macie. Las reglas más pequeñas y con una única finalidad son más fáciles de probar, comprender y ajustar que una única regla general y desmesurada.

Un evento coincidente solo resulta útil cuando se combina con un destino. El patrón decide si se debe actuar; el destino decide qué hacer.

Juntos forman una regla: este tipo de hallazgo, con esta gravedad, activa esta corrección específica. Esta combinación es el núcleo de toda respuesta automatizada.

Elija el filtro preciso.

Un patrón de eventos es el filtro JSON que determina sobre qué eventos actúa una regla, comparando campos como source, detail-type y valores anidados de detail. Utilice la comparación numérica para establecer umbrales de gravedad y operadores avanzados (prefix, exists, anything-but y CIDR) para definir el alcance con precisión. Haga coincidir tipos de hallazgo específicos de GuardDuty para enrutar correcciones diferenciadas, pruebe los patrones en el sandbox y evite las coincidencias excesivas para que la automatización se active únicamente ante amenazas reales.