Come EventBridge instrada gli eventi di sicurezza

Amazon EventBridge è un event bus serverless che collega gli eventi dei servizi AWS alle destinazioni che li elaborano.

Per la sicurezza, funge da collegamento tra rilevamento e risposta: un finding di GuardDuty diventa un evento, EventBridge lo instrada e una destinazione come Lambda applica automaticamente la correzione, tutto in pochi secondi.

Un evento è un messaggio JSON che descrive qualcosa che è accaduto: è stato generato un finding, una risorsa è cambiata o è stata chiamata un'API.

I servizi AWS generano automaticamente gli eventi. Ognuno contiene una sorgente, un detail-type e un oggetto detail con informazioni specifiche, che insieme consentono di eseguire corrispondenze e instradamenti precisi.

Gli eventi arrivano su un event bus. Ogni account dispone di un default bus per gli eventi dei servizi AWS, e può creare bus personalizzati per le proprie applicazioni o integrazioni con partner.

Separare i bus mantiene organizzato il traffico degli eventi e consente di applicare regole e autorizzazioni diverse a flussi diversi.

Una rule monitora un bus e confronta gli eventi con un event pattern. Quando un evento corrisponde al modello, la regola lo invia a una o più targets.

Questo instradamento dalla sorgente alla destinazione è il cuore della sicurezza automatizzata: stabilisce quali finding attivano quali risposte, senza polling né codice personalizzato in ascolto degli eventi.

Le regole possono consegnare gli eventi corrispondenti a numerose destinazioni:

• Funzioni Lambda per correzioni personalizzate.
• Topic SNS per notificare un team.
• Step Functions per flussi di lavoro composti da più fasi.
• Documenti di automazione di Systems Manager.

Un singolo evento può essere distribuito contemporaneamente a più destinazioni.

EventBridge abilita il modello di automazione della sicurezza: un rilevatore (GuardDuty, Macie, Config, Security Hub) genera un finding, una regola lo riconosce e una destinazione applica una correzione o invia un avviso.

In questo modo il triage manuale diventa un'azione immediata e coerente, riducendo drasticamente il tempo a disposizione di un attaccante tra il rilevamento e il contenimento.

EventBridge consegna gli eventi quasi in tempo reale ed è completamente serverless: non è necessaria alcuna infrastruttura da gestire e il servizio si adatta automaticamente alla scalabilità richiesta.

È questa velocità a rendere possibile la correzione automatica: un finding ad alta gravità può portare all'isolamento di una risorsa entro pochi secondi dal rilevamento, molto più rapidamente di quanto potrebbe agire una persona.

EventBridge può inviare gli eventi dagli account membri al bus di un security account centrale.

Questo centralizza il rilevamento e la risposta: i finding provenienti da tutta l'organizzazione confluiscono in un unico bus, dove regole condivise e logiche di correzione li gestiscono in modo coerente, senza duplicare l'automazione in ogni account.

Oltre agli eventi dei servizi, EventBridge supporta scheduled rules (simili a cron) per eseguire controlli di sicurezza periodici e acquisisce gli eventi API di CloudTrail, consentendo di reagire a chiamate API specifiche.

Ad esempio, una regola può attivarsi ogni volta che qualcuno disabilita un controllo di sicurezza, generando immediatamente un avviso.

EventBridge può trasformare un evento prima di passarlo a una destinazione, ristrutturando o riducendo il JSON affinché la destinazione riceva esattamente ciò che si aspetta.

In questo modo un singolo finding può alimentare una notifica con un messaggio chiaro e una Lambda di correzione con i dettagli grezzi, senza scrivere codice di collegamento per modificare il payload nel passaggio intermedio.

Per un'automazione affidabile, EventBridge offre nuovi tentativi e una dead-letter queue (DLQ) per gli eventi la cui consegna non riesce.

In questo modo un errore temporaneo non fa scomparire silenziosamente un'azione di sicurezza critica: una correzione non riuscita finisce nella DLQ per essere esaminata, invece di svanire senza che nessuno se ne accorga.

Amazon EventBridge è un event bus serverless che instrada gli eventi dei servizi AWS verso le destinazioni utilizzando rules ed event pattern. È il collegamento tra rilevamento e risposta: un finding di GuardDuty o Macie corrisponde a una regola e attiva una destinazione Lambda, SNS o Step Functions quasi in tempo reale. Supporta l'instradamento tra account verso un security account, regole pianificate e basate su API e nuovi tentativi supportati da DLQ per un'automazione affidabile.