Insight e azioni personalizzate sui finding

Un lungo elenco di finding normalizzati è comunque difficile da gestire. Security Hub offre due strumenti per trasformare quell'elenco in azioni mirate: gli insight, che raggruppano i finding correlati, e le custom action, che consentono di attivare workflow a partire da finding selezionati.

Un insight di Security Hub è un raggruppamento salvato di finding, ottenuto tramite un filtro e un attributo "group by". Ad esempio, un insight può raggruppare i finding attivi per risorsa, mostrando quali risorse presentano il maggior numero di problemi. Gli insight evidenziano pattern che i singoli finding non permettono di vedere.

Security Hub include managed insight pronti all'uso, come "AWS resources with the most findings" o "S3 buckets with public access". Questi raggruppamenti predefiniti offrono valore immediato ed evidenziano le aree critiche senza richiedere alcuna configurazione.

È inoltre possibile creare custom insight adatti alle proprie esigenze, filtrando in base a un campo ASFF qualsiasi e raggruppando per un altro campo. Un team potrebbe creare un insight per i finding con gravità High raggruppati per account, concentrando l'attenzione esattamente sulle aree in cui si concentra il rischio.

Il raggruppamento trasforma il rumore in priorità. Invece di scorrere migliaia di finding, un insight indica che "queste cinque risorse rappresentano la maggior parte del rischio". In questo modo la risoluzione si concentra sulle correzioni con il maggiore impatto, sostenendo la prioritizzazione valorizzata dall'esame.

Una custom action in Security Hub è un trigger denominato che viene associato ai finding. Quando un analista seleziona alcuni finding e sceglie tale action, Security Hub emette un evento verso EventBridge. È il collegamento tra il triage umano e la risposta automatizzata.

Ogni custom action ha un proprio ARN e produce un evento EventBridge contenente i finding selezionati. Una regola EventBridge indirizza quindi l'evento a una destinazione, ad esempio una funzione Lambda, un workflow Step Functions o un'integrazione con un sistema di ticketing, per correggere il problema o inoltrarlo al livello successivo.

Le custom action consentono una risposta avviata dall'analista: una persona esamina il problema e poi fa clic per correggerlo. Per una risposta completamente automatica, è invece possibile associare direttamente i finding alle regole EventBridge, così l'azione viene eseguita senza l'intervento di una persona. Conoscere entrambi i pattern aiuta a scegliere quello più adatto.

Security Hub offre anche automation rule che aggiornano automaticamente i finding, ad esempio aumentando la gravità o modificando lo stato del workflow quando i criteri corrispondono. Queste regole perfezionano il flusso dei finding prima che raggiunga un analista o un sistema di automazione downstream.

Le regole di automazione si attivano quando un finding corrisponde a criteri definiti sui campi ASFF, quindi applicano modifiche come l'impostazione della gravità, l'aggiornamento dello stato del workflow o l'aggiunta di una nota. Ad esempio, una regola potrebbe sopprimere automaticamente i finding a bassa gravità provenienti da un account di test noto. In questo modo il flusso viene perfezionato in modo coerente, prima che gli analisti o i sistemi di automazione downstream possano visualizzarlo.

Per scegliere tra i due pattern, chiedersi se sia necessario che una persona esamini prima il finding. Le custom action sono adatte alle risposte che richiedono valutazione e vengono avviate da un analista; le regole EventBridge dirette sono adatte ai finding chiari e ad alto volume che devono essere corretti immediatamente, senza attese. Molti team combinano entrambi gli approcci: correggono automaticamente i casi evidenti e indirizzano quelli ambigui agli analisti tramite custom action.

Colleghi i finding alla risposta.

Gli insight di Security Hub raggruppano i finding in base a un filtro e a un attributo (gestiti o personalizzati), mostrando dove si concentra il rischio. Le custom action consentono a un analista di inviare i finding selezionati a EventBridge per la risposta, mentre le regole EventBridge dirette permettono una correzione completamente automatica e le automation rule aggiornano automaticamente i finding. Insieme, trasformano i finding aggregati in workflow.