Mencocokkan Temuan dengan Pola Peristiwa

Anda tidak ingin merespons setiap peristiwa—hanya peristiwa yang penting. Pola peristiwa adalah filter yang menentukan peristiwa mana yang ditangani oleh suatu aturan.

Pola yang tepat berarti otomatisasi berjalan tepat ketika ancaman nyata muncul dan tetap diam selain itu, sehingga menghindari peringatan yang terlewat maupun pemicu palsu yang berisik.

Pola peristiwa adalah JSON yang mencerminkan struktur peristiwa yang dicocokkannya. Anda menentukan bidang dan nilai yang penting bagi Anda; suatu peristiwa hanya cocok jika setiap bidang yang ditentukan cocok.

Bidang yang tidak Anda sertakan akan diabaikan, sehingga pola dapat dibuat seluas atau sesempit yang Anda perlukan.

Filter yang paling umum adalah sumber—misalnya "aws.guardduty" atau "aws.macie".

Jika digabungkan dengan detail-type, filter ini mempersempit peristiwa menjadi jenis tertentu dari layanan tertentu. Ini merupakan titik awal alami untuk aturan keamanan apa pun sebelum Anda menyempurnakannya lebih lanjut.

Anda sering kali hanya ingin menindaklanjuti temuan yang serius. Dengan mencocokkan bidang bertingkat dalam detail, pola dapat mensyaratkan, misalnya, tingkat keparahan GuardDuty berada pada atau di atas ambang tertentu.

EventBridge mendukung pencocokan numerik seperti lebih besar dari, sehingga aturan hanya berjalan untuk temuan dengan tingkat keparahan tinggi dan mengabaikan gangguan berisiko rendah.

Pola mendukung operator yang lebih kaya: pencocokan awalan, pemeriksaan keberadaan, anything-but, dan pencocokan alamat IP CIDR.

Operator ini memungkinkan Anda menyatakan kondisi yang tepat—mencocokkan jenis temuan apa pun yang diawali "UnauthorizedAccess", atau peristiwa apa pun yang bidang wilayahnya ada tetapi bukan wilayah utama Anda.

GuardDuty menghasilkan puluhan jenis temuan seperti Recon, CryptoCurrency, atau InstanceCredentialExfiltration.

Dengan mencocokkan bidang detail.type, Anda dapat merutekan ancaman yang berbeda ke remediasi yang berbeda—pencurian kredensial ke satu Lambda, penambangan kripto ke Lambda lain—sehingga masing-masing menerima respons yang sesuai.

Pola yang tidak pernah cocok merupakan kegagalan diam-diam. Gunakan kotak pasir konsol EventBridge untuk menempelkan contoh peristiwa dan memastikan pola cocok dengannya.

Menguji dengan contoh peristiwa nyata sebelum menerapkan pola mencegah kasus yang memalukan dan berbahaya ketika otomatisasi sama sekali tidak pernah berjalan.

Pola yang terlalu luas akan memicu remediasi pada peristiwa yang tidak berbahaya dan menyebabkan gangguan—bayangkan jika instans diisolasi untuk setiap temuan informasional dengan tingkat keparahan rendah.

Batasi pola pada ancaman nyata. Tantangannya adalah mencocokkan cukup banyak hal untuk menangkap insiden nyata, sekaligus mengecualikan gangguan rutin yang seharusnya tidak memicu tindakan otomatis.

Sintaks pola yang sama berlaku untuk sumber peristiwa apa pun: perubahan kepatuhan aturan Config, temuan Security Hub, penemuan Macie, atau panggilan API CloudTrail tertentu.

Mempelajari pola peristiwa sekali memungkinkan Anda membangun otomatisasi keamanan di seluruh lingkungan AWS menggunakan satu bahasa pencocokan yang konsisten.

Daripada menggunakan satu pola raksasa yang berusaha menangkap semuanya, buat beberapa aturan terfokus, masing-masing dengan pola dan sasaran sendiri.

Satu aturan mengisolasi instans berdasarkan temuan kredensial; aturan lain hanya memberi peringatan untuk pengintaian dengan tingkat keparahan rendah; aturan lainnya merespons penemuan Macie. Aturan yang lebih kecil dan memiliki satu tujuan lebih mudah diuji, dipahami, dan disesuaikan daripada satu aturan besar yang menangkap semuanya.

Peristiwa yang cocok hanya berguna jika dipasangkan dengan sasaran. Pola menentukan apakah tindakan dilakukan; sasaran menentukan apa yang dilakukan.

Keduanya membentuk sebuah aturan: temuan jenis ini, dengan tingkat keparahan ini, memicu remediasi tertentu. Pasangan inilah inti dari setiap respons otomatis.

Pilih filter yang tepat.

Pola peristiwa adalah filter JSON yang menentukan peristiwa mana yang ditangani oleh suatu aturan, dengan mencocokkan bidang seperti sumber, detail-type, dan nilai detail bertingkat. Gunakan pencocokan numerik untuk ambang tingkat keparahan dan operator lanjutan (awalan, keberadaan, anything-but, CIDR) agar cakupan tepat. Cocokkan jenis temuan GuardDuty tertentu untuk merutekan remediasi yang berbeda, uji pola di kotak pasir, dan hindari pencocokan berlebihan agar otomatisasi hanya berjalan untuk ancaman nyata.