Comment EventBridge achemine les événements de sécurité

Amazon EventBridge est un bus d’événements sans serveur qui relie les événements des services AWS à des cibles qui agissent sur ces événements.

Pour la sécurité, il fait le lien entre la détection et la réponse : un constat GuardDuty devient un événement, EventBridge l’achemine et une cible telle que Lambda y remédie automatiquement — le tout en quelques secondes.

Un événement est un message JSON qui décrit quelque chose qui s’est produit : un constat a été généré, une ressource a changé ou un appel d’API a été effectué.

Les services AWS émettent automatiquement des événements. Chacun contient une source, un type de détail et un objet de détail précisant les informations, ce qui permet de faire correspondre et d’acheminer les événements avec précision.

Les événements arrivent sur un bus d’événements. Chaque compte possède un bus par défaut pour les événements des services AWS, et vous pouvez créer des bus personnalisés pour vos propres applications ou intégrations partenaires.

La séparation des bus permet d’organiser le trafic d’événements et d’appliquer des règles et des autorisations différentes à chaque flux.

Une règle surveille un bus et compare les événements à un modèle d’événement. Lorsqu’un événement correspond, la règle l’envoie à une ou plusieurs cibles.

Cet acheminement de la source vers la cible est au cœur de la sécurité automatisée : il détermine quels constats déclenchent quelles réponses, sans interrogation périodique ni code personnalisé chargé d’écouter les événements.

Les règles peuvent transmettre les événements correspondants à de nombreuses cibles :

• Des fonctions Lambda pour appliquer des mesures correctives personnalisées.
• Des rubriques SNS pour avertir une équipe.
• Step Functions pour les flux de travail en plusieurs étapes.
• Des documents d’automatisation de Systems Manager.

Un même événement peut être distribué simultanément à plusieurs cibles.

EventBridge permet d’appliquer le modèle d’automatisation de la sécurité : un détecteur (GuardDuty, Macie, Config, Security Hub) émet un constat, une règle lui correspond et une cible applique une mesure corrective ou déclenche une alerte.

Cette approche transforme l’analyse manuelle en une action instantanée et cohérente, réduisant considérablement le temps dont dispose un attaquant entre la détection et le confinement.

EventBridge transmet les événements en quasi-temps réel et est entièrement sans serveur : aucune infrastructure à gérer et une capacité qui s’adapte automatiquement.

C’est cette rapidité qui rend les mesures correctives automatiques viables : un constat de gravité élevée peut entraîner l’isolement d’une ressource quelques secondes après sa détection, bien plus vite qu’un intervenant humain ne pourrait agir.

EventBridge peut envoyer les événements des comptes membres vers le bus d’un compte de sécurité central.

Cela centralise la détection et la réponse : les constats provenant de toute l’organisation arrivent sur un seul bus, où des règles partagées et une logique corrective les traitent de manière cohérente, au lieu de dupliquer l’automatisation dans chaque compte.

En plus des événements de service, EventBridge prend en charge les règles planifiées (de type cron) pour exécuter des vérifications de sécurité périodiques et capture les événements d’API CloudTrail afin que vous puissiez réagir à des appels d’API précis.

Par exemple, une règle peut se déclencher chaque fois qu’une personne désactive un contrôle de sécurité et générer immédiatement une alerte.

EventBridge peut transformer un événement avant de le transmettre à une cible, en remodelant ou en raccourcissant le JSON afin que la cible reçoive exactement ce qu’elle attend.

Ainsi, un même constat peut alimenter une notification avec un message convivial et une fonction Lambda corrective avec les détails bruts, sans écrire de code intermédiaire pour modifier la charge utile.

Pour une automatisation robuste, EventBridge propose des nouvelles tentatives et une file d’attente de lettres mortes (DLQ) pour les événements dont la transmission échoue.

Ainsi, une défaillance temporaire ne fait pas disparaître silencieusement une action de sécurité critique : une mesure corrective échouée arrive dans la DLQ pour être examinée au lieu de disparaître sans que personne ne s’en aperçoive.

Décrivez le rôle d’EventBridge.

Amazon EventBridge est un bus d’événements sans serveur qui achemine les événements des services AWS vers des cibles à l’aide de règles et de modèles d’événements. Il fait le lien entre la détection et la réponse : un constat provenant de GuardDuty ou de Macie correspond à une règle et déclenche une cible Lambda, SNS ou Step Functions en quasi-temps réel. Il prend en charge l’acheminement entre comptes vers un compte de sécurité, les règles planifiées et déclenchées par des API, ainsi que les nouvelles tentatives appuyées par une DLQ pour une automatisation fiable.