Insight dan Tindakan Temuan Khusus

Daftar panjang temuan yang telah dinormalisasi tetap sulit ditindaklanjuti. Security Hub menyediakan dua alat untuk mengubah daftar tersebut menjadi tindakan yang terarah: wawasan yang mengelompokkan temuan terkait, dan tindakan khusus yang memungkinkan Anda memicu alur kerja dari temuan yang dipilih.

Sebuah wawasan Security Hub adalah pengelompokan temuan tersimpan yang dikumpulkan berdasarkan filter dan atribut "kelompokkan berdasarkan". Sebagai contoh, wawasan dapat mengelompokkan temuan aktif berdasarkan sumber daya untuk menunjukkan sumber daya mana yang memiliki masalah terbanyak. Wawasan menampilkan pola yang tidak terlihat dari temuan tunggal.

Security Hub menyediakan wawasan terkelola sejak awal, seperti "sumber daya AWS dengan temuan terbanyak" atau "bucket S3 dengan akses publik". Pengelompokan siap pakai ini memberikan manfaat langsung dengan menyoroti titik rawan tanpa perlu Anda menentukan apa pun.

Anda juga dapat membuat wawasan khusus yang disesuaikan dengan kebutuhan, dengan memfilter kolom ASFF apa pun dan mengelompokkannya berdasarkan kolom lain. Sebuah tim dapat membuat wawasan untuk temuan dengan tingkat keparahan High yang dikelompokkan berdasarkan akun, sehingga perhatian terarah tepat pada lokasi risikonya.

Pengelompokan mengubah kebisingan menjadi prioritas. Alih-alih menelusuri ribuan temuan, sebuah wawasan memberi tahu Anda bahwa "lima sumber daya ini mencakup sebagian besar risiko". Hal ini mengarahkan perbaikan pada perbaikan yang berdampak paling besar dan mendukung penentuan prioritas yang ditekankan dalam ujian.

Tindakan khusus di Security Hub adalah pemicu bernama yang Anda kaitkan dengan temuan. Saat analis memilih temuan dan memilih tindakan tersebut, Security Hub menghasilkan kejadian ke EventBridge. Inilah penghubung antara triase manusia dan respons otomatis.

Setiap tindakan khusus memiliki ARN sendiri dan menghasilkan kejadian EventBridge yang membawa temuan yang dipilih. Selanjutnya, aturan EventBridge merutekan kejadian tersebut ke target, seperti fungsi Lambda, alur kerja Step Functions, atau integrasi sistem tiket, untuk melakukan perbaikan atau eskalasi.

Tindakan khusus memungkinkan respons yang dimulai oleh analis: seseorang meninjau temuan, lalu mengeklik untuk melakukan perbaikan. Untuk respons yang sepenuhnya otomatis, Anda dapat langsung mencocokkan temuan dengan aturan EventBridge sehingga tindakan berlangsung tanpa campur tangan manusia. Dengan memahami kedua pola ini, Anda dapat memilih pola yang tepat.

Security Hub juga menawarkan aturan otomatisasi yang secara otomatis memperbarui temuan, misalnya dengan menaikkan tingkat keparahan atau mengubah status alur kerja ketika kriteria terpenuhi. Aturan ini menyempurnakan aliran temuan sebelum mencapai analis atau otomatisasi hilir.

Aturan otomatisasi bekerja ketika sebuah temuan cocok dengan kriteria yang ditentukan pada kolom ASFF, lalu menerapkan perubahan seperti menetapkan tingkat keparahan, memperbarui status alur kerja, atau menambahkan catatan. Sebagai contoh, aturan dapat secara otomatis menekan temuan dengan tingkat keparahan rendah dari akun yang diketahui digunakan untuk pengujian. Dengan demikian, aliran temuan disempurnakan secara konsisten sebelum analis atau otomatisasi hilir melihatnya.

Untuk memilih antara kedua pola tersebut, tanyakan apakah manusia perlu meninjau terlebih dahulu. Tindakan khusus cocok untuk respons yang membutuhkan banyak pertimbangan dan dimulai oleh analis; aturan EventBridge langsung cocok untuk temuan yang jelas dan berjumlah besar, yang harus segera diperbaiki tanpa menunggu. Banyak tim menggabungkan keduanya: memperbaiki hal yang jelas secara otomatis dan meneruskan hal yang ambigu kepada analis melalui tindakan khusus.

Hubungkan temuan dengan respons.

Wawasan Security Hub mengelompokkan temuan berdasarkan filter dan atribut (terkelola atau khusus) untuk menunjukkan lokasi terkonsentrasinya risiko. Tindakan khusus memungkinkan analis mengirim temuan yang dipilih ke EventBridge untuk direspons, sedangkan aturan EventBridge langsung memungkinkan perbaikan sepenuhnya otomatis dan aturan otomatisasi memperbarui temuan secara otomatis. Bersama-sama, semuanya mengubah temuan teragregasi menjadi alur kerja.