Memicu Lambda untuk Perbaikan Otomatis

AWS Lambda menjalankan kode Anda tanpa perlu mengelola server dan hanya mengenakan biaya untuk waktu eksekusi. Dalam otomatisasi keamanan, Lambda merupakan sasaran remediasi yang paling fleksibel.

Ketika EventBridge mencocokkan suatu temuan, layanan ini memanggil fungsi Lambda yang melakukan perbaikan—mengisolasi instans, mencabut kunci, atau menutup bucket—dalam hitungan detik.

Polanya konsisten: detektor menghasilkan temuan, aturan EventBridge mencocokkannya, lalu aturan tersebut memanggil fungsi Lambda dengan meneruskan peristiwa sebagai input.

Fungsi tersebut membaca detail peristiwa, mengidentifikasi Resource yang terdampak, lalu memanggil API AWS untuk melakukan remediasi. Deteksi berubah menjadi perbaikan tanpa campur tangan manusia.

EventBridge mengirimkan JSON peristiwa lengkap ke fungsi tersebut. Kode mengekstrak hal-hal yang diperlukan — ID instans, nama bucket, dan kunci yang bermasalah — dari objek detail.

Fungsi yang tangguh memvalidasi input ini karena tindakan terhadap peristiwa yang rusak atau tidak terduga dapat menyebabkan remediasi diterapkan pada Resource yang salah.

Remediasi Lambda yang umum meliputi:

• Mengganti grup keamanan pada instans yang telah disusupi dengan grup keamanan karantina.
• Menonaktifkan kunci akses IAM yang bocor.
• Mengaktifkan Block Public Access pada bucket yang terekspos.
• Menghapus aturan grup keamanan yang memberikan izin berlebihan.

Masing-masing hanya memerlukan beberapa panggilan API yang dilakukan fungsi secara otomatis.

Fungsi Lambda berjalan dengan execution role. Berikan hanya izin yang diperlukan untuk remediasinya — tidak lebih.

Fungsi remediasi otomatis memang dirancang agar berdaya tinggi, sehingga rolenya menjadi target utama. Membatasi cakupannya secara ketat akan membatasi kerusakan jika fungsi atau input peristiwanya disalahgunakan.

EventBridge terkadang dapat mengirimkan suatu peristiwa lebih dari satu kali, dan sebuah temuan dapat muncul kembali. Jadikan remediasi idempotent — aman dijalankan berulang kali.

Menerapkan grup keamanan karantina yang sudah terpasang seharusnya tetap berhasil tanpa efek samping, sehingga pemanggilan duplikat tidak pernah menimbulkan kerugian atau kesalahan.

Tindakan otomatis dapat mengganggu, jadi tambahkan pemeriksaan keamanan. Fungsi tersebut dapat memverifikasi bahwa Resource memiliki tag tertentu, melewati sistem produksi yang dilindungi, atau mensyaratkan ambang tingkat keparahan yang sudah difilter oleh pola.

Beberapa tim menempatkan tindakan destruktif di balik langkah persetujuan untuk mencegah otomatisasi yang berjalan tanpa kendali.

Setiap remediasi harus meninggalkan jejak. Minta fungsi menulis ke CloudWatch Logs dan, bila diperlukan, mengirimkan pemberitahuan melalui SNS tentang tindakan yang dilakukan dan Resource yang dikenai tindakan tersebut.

Jika digabungkan dengan CloudTrail yang merekam panggilan API, hal ini memberikan catatan lengkap tentang respons otomatis untuk audit dan peninjauan setelah insiden.

Remediasi dapat gagal — karena kekurangan izin, API terkena pembatasan laju, atau Resource telah dihapus. Konfigurasikan percobaan ulang dan dead-letter queue agar pemanggilan yang gagal tidak hilang.

Fungsi tersebut juga harus memberi tahu manusia ketika tidak dapat menyelesaikan tugas, sehingga remediasi otomatis yang gagal dapat dieskalasikan, bukan diam-diam membiarkan ancaman tanpa penanganan.

Agar EventBridge dapat memanggil fungsi Anda, aturan tersebut memerlukan izin untuk memanggilnya — izin ini diberikan melalui resource-based policy pada Lambda yang mempercayai layanan EventBridge.

execution role milik fungsi mengatur hal-hal yang dapat dilakukannya setelah berjalan, sedangkan izin pemanggilan ini mengatur pihak yang diizinkan untuk memicunya. Keduanya harus tersedia agar pipeline dapat berfungsi.

Uji fungsi remediasi terhadap contoh peristiwa di akun nonproduksi sebelum mempercayakannya untuk menangani insiden nyata.

Pastikan fungsi tersebut bertindak pada Resource yang benar, mematuhi pagar pengamannya, dan mencatat dengan benar. Otomatisasi yang terpicu secara keliru dapat menyebabkan gangguan layanan sama pastinya seperti penyerang, sehingga validasi sangat penting.

Mengapa idempotensi?

AWS Lambda adalah target fleksibel yang melakukan remediasi otomatis ketika aturan EventBridge mencocokkan suatu temuan. Fungsi tersebut membaca detail peristiwa, mengidentifikasi Resource, lalu memanggil API untuk memperbaikinya — mengarantina instans, menonaktifkan kunci, atau menutup bucket. Berikan execution role dengan hak akses paling sedikit, jadikan tindakan idempotent, tambahkan pagar pengaman dan pencatatan, tangani kegagalan dengan DLQ serta peringatan, dan lakukan pengujian menyeluruh sebelum mempercayakannya di produksi.