Associare i finding ai pattern degli eventi

Non desidera reagire a ogni evento, ma solo a quelli rilevanti. Un event pattern è il filtro che decide a quali eventi deve reagire una regola.

Un pattern preciso fa sì che l'automazione si attivi esattamente quando compare una minaccia reale e rimanga inattiva negli altri casi, evitando sia gli avvisi mancati sia le attivazioni errate e rumorose.

Un event pattern è un JSON che rispecchia la struttura degli eventi a cui deve corrispondere. Si specificano i campi e i valori di interesse; un evento corrisponde solo se tutti i campi specificati corrispondono.

I campi omessi vengono ignorati, quindi un pattern può essere ampio o restrittivo quanto necessario.

Il filtro più comune è source, ad esempio "aws.guardduty" o "aws.macie".

In combinazione con detail-type, restringe gli eventi a un tipo specifico proveniente da un determinato servizio. È il punto di partenza naturale per qualsiasi regola di sicurezza, prima di applicare ulteriori restrizioni.

Spesso è necessario agire solo sui finding gravi. Confrontando i campi nidificati in detail, un pattern può richiedere, ad esempio, che la gravità di GuardDuty sia pari o superiore a una soglia.

EventBridge supporta il confronto numerico, come il maggiore di, quindi una regola può attivarsi solo per i finding ad alta gravità e ignorare il rumore a basso rischio.

I pattern supportano operatori più avanzati: corrispondenza per prefix, controlli exists, anything-but e corrispondenza di indirizzi IP tramite CIDR.

Questi operatori consentono di esprimere condizioni precise: trovare qualsiasi tipo di finding che inizi con "UnauthorizedAccess" oppure qualsiasi evento in cui il campo della regione esista ma non corrisponda alla regione principale.

GuardDuty produce decine di tipi di finding, come Recon, CryptoCurrency o InstanceCredentialExfiltration.

Confrontando il campo detail.type, è possibile instradare minacce diverse verso correzioni diverse: il furto di credenziali a una Lambda e il cryptomining a un'altra, così ogni minaccia riceve la risposta più adatta.

Un pattern che non corrisponde mai è un errore silenzioso. Utilizzi la sandbox della console di EventBridge per incollare un evento di esempio e verificare che il pattern corrisponda.

Testare i pattern con esempi di eventi reali prima della distribuzione evita il caso imbarazzante e pericoloso di un'automazione che non si attiva mai.

Un pattern troppo ampio attiva correzioni su eventi innocui, causando interruzioni: immagini di isolare istanze per ogni finding informativo a bassa gravità.

Limiti i pattern alle minacce reali. La difficoltà consiste nel riconoscere abbastanza eventi da individuare gli incidenti reali, escludendo al contempo il rumore ordinario che non dovrebbe attivare alcuna azione automatica.

La stessa sintassi dei pattern funziona con qualsiasi sorgente di eventi: variazioni nella conformità delle regole Config, finding di Security Hub, rilevamenti di Macie o chiamate API CloudTrail specifiche.

Imparare una sola volta i pattern degli eventi consente di creare automazioni di sicurezza nell'intero ambiente AWS utilizzando un unico linguaggio di corrispondenza coerente.

Anziché creare un unico pattern gigantesco che tenti di intercettare tutto, crei diverse regole mirate, ciascuna con il proprio pattern e la propria destinazione.

Una regola isola le istanze in presenza di finding relativi alle credenziali; un'altra invia avvisi solo per attività di ricognizione a bassa gravità; un'altra ancora reagisce ai rilevamenti di Macie. Le regole più piccole e con un unico scopo sono più facili da testare, comprendere e modificare rispetto a un'unica regola generale e dispersiva.

Un evento corrispondente è utile solo se associato a una destinazione. Il pattern decide se agire; la destinazione decide che cosa fare.

Insieme formano una regola: questo tipo di finding, con questa gravità, attiva questa specifica correzione. Questo abbinamento è il cuore di ogni risposta automatizzata.

Scelga il filtro più preciso.

Un event pattern è il filtro JSON che decide a quali eventi deve reagire una regola, confrontando campi come source, detail-type e i valori nidificati di detail. Utilizzi il confronto numerico per le soglie di gravità e gli operatori avanzati (prefix, exists, anything-but, CIDR) per definire l'ambito con precisione. Confronti i tipi specifici di finding di GuardDuty per instradare correzioni distinte, testi i pattern nella sandbox ed eviti le corrispondenze eccessive, così l'automazione si attiva solo per le minacce reali.