Miten EventBridge reitittää tietoturvatapahtumia

Amazon EventBridge on palvelimeton tapahtumaväylä, joka yhdistää AWS-palvelujen tapahtumat niitä käsitteleviin kohteisiin.

Turvallisuuden näkökulmasta se yhdistää havainnoinnin ja reagoinnin: GuardDuty-havainnosta tulee tapahtuma, EventBridge reitittää sen ja kohde, kuten Lambda, korjaa tilanteen automaattisesti — kaikki muutamassa sekunnissa.

Tapahtuma on JSON-sanoma, joka kuvaa tapahtunutta asiaa — syntynyttä havaintoa, muuttunutta resurssia tai kutsuttua API:a.

AWS-palvelut tuottavat tapahtumia automaattisesti. Jokainen tapahtuma sisältää lähteen, detail-typen ja tarkemmat tiedot sisältävän detail-objektin, joiden avulla tapahtumia voidaan täsmäyttää ja reitittää täsmällisesti.

Tapahtumat saapuvat tapahtumaväylälle. Jokaisella tilillä on AWS-palvelujen tapahtumille oletusväylä, ja voitte luoda mukautettuja väyliä omille sovelluksillenne tai kumppani-integraatioille.

Väylien erottaminen pitää tapahtumaliikenteen järjestyksessä ja mahdollistaa erilaisten sääntöjen ja käyttöoikeuksien soveltamisen eri virtoihin.

Sääntö tarkkailee väylää ja vertaa tapahtumia tapahtumamalliin. Kun tapahtuma vastaa mallia, sääntö lähettää sen yhdelle tai useammalle kohteelle.

Tämä lähteestä kohteeseen tapahtuva reititys on automaattisen turvallisuuden ydin: se määrittää, mitkä havainnot käynnistävät mitkäkin vastatoimet ilman kyselyitä tai mukautettua koodia tapahtumien kuuntelemiseen.

Säännöt voivat toimittaa täsmäytetyt tapahtumat moniin kohteisiin:

• Lambda-funktiot mukautettuun korjaamiseen.
• SNS-aiheet tiimin ilmoittamiseen.
• Step Functions monivaiheisiin työnkulkuihin.
• Systems Manager Automation -dokumentit.

Yksi tapahtuma voidaan haarauttaa usealle kohteelle samanaikaisesti.

EventBridge mahdollistaa turvallisuuden automaatiomallin: tunnistin (GuardDuty, Macie, Config tai Security Hub) tuottaa havainnon, sääntö täsmäyttää sen ja kohde korjaa tilanteen tai lähettää ilmoituksen.

Tämä muuttaa manuaalisen selvitystyön välittömäksi ja yhdenmukaiseksi toiminnaksi ja lyhentää huomattavasti aikaa, joka hyökkääjällä on havainnosta eristämiseen.

EventBridge toimittaa tapahtumat lähes reaaliajassa ja on täysin palvelimeton — hallittavaa infrastruktuuria ei ole, ja kapasiteetti skaalautuu automaattisesti.

Tämä nopeus tekee automaattisesta korjaamisesta mahdollista: vakavuudeltaan korkea havainto voi johtaa resurssin eristämiseen muutamassa sekunnissa havaitsemisesta, paljon nopeammin kuin ihminen ehtisi toimia.

EventBridge voi lähettää jäsentileiltä tulevat tapahtumat keskitetyn turvallisuustilin väylälle.

Tämä keskittää havainnoinnin ja reagoinnin: koko organisaation havainnot päätyvät yhdelle väylälle, jossa yhteiset säännöt ja korjauslogiikka käsittelevät ne yhdenmukaisesti sen sijaan, että automaatio monistettaisiin jokaiselle tilille.

Palvelutapahtumien lisäksi EventBridge tukee ajastettuja sääntöjä (cron-tyyppisiä) säännöllisten turvallisuustarkistusten suorittamiseen ja tallentaa CloudTrail API -tapahtumat, jotta voitte reagoida tiettyihin API-kutsuihin.

Sääntö voi esimerkiksi käynnistyä aina, kun joku poistaa turvallisuuskontrollin käytöstä, ja lähettää välittömän ilmoituksen.

EventBridge voi muuntaa tapahtuman ennen sen välittämistä kohteelle muuttamalla JSON-rakennetta tai karsimalla sitä, jotta kohde saa täsmälleen odottamansa tiedot.

Näin yksi havainto voidaan välittää ilmoituksena selkeällä viestillä ja korjaavalle Lambda-funktiolle raakatietoineen ilman, että väliin tarvitsee kirjoittaa liimakoodia hyötykuorman muokkaamiseen.

Vankkaa automaatiota varten EventBridge tarjoaa uudelleenyritykset ja dead-letter-jonon (DLQ) tapahtumille, joiden toimitus epäonnistuu.

Näin tilapäinen häiriö ei huomaamatta hukkaa kriittistä turvallisuustoimea — epäonnistunut korjaus päätyy tarkistettavaksi DLQ:hun sen sijaan, että se katoaisi huomaamatta.

Amazon EventBridge on palvelimeton tapahtumaväylä, joka reitittää AWS-palvelujen tapahtumat kohteisiin sääntöjen ja tapahtumamallien avulla. Se yhdistää havainnoinnin ja reagoinnin: GuardDuty- tai Macie-havainto täsmää sääntöön ja käynnistää Lambda-, SNS- tai Step Functions -kohteen lähes reaaliajassa. Se tukee tilien välistä reititystä turvallisuustilille, ajastettuja ja API-pohjaisia sääntöjä sekä DLQ:n tukemia uudelleenyrityksiä luotettavaa automaatiota varten.