Attivare Lambda per la correzione automatica

AWS Lambda esegue il Suo codice senza che debba gestire server e addebita i costi solo in base al tempo di esecuzione. Nell'automazione della sicurezza è la destinazione di correzione più flessibile.

Quando EventBridge riconosce un finding, richiama una funzione Lambda che applica la correzione: isola un'istanza, revoca una chiave o chiude un bucket, il tutto in pochi secondi.

Il modello è coerente: un rilevatore genera un finding, una regola EventBridge lo intercetta e la regola richiama una funzione Lambda passando l'evento come input.

La funzione legge i dettagli dell'evento, identifica la risorsa interessata e chiama le API AWS per applicare la remediation. La rilevazione si trasforma in correzione senza intervento umano.

EventBridge consegna alla funzione l'intero JSON dell'evento. Il codice estrae ciò che gli serve — l'ID dell'istanza, il nome del bucket, la chiave che viola i criteri — dall'oggetto detail.

Le funzioni robuste convalidano questo input, perché agire su un evento malformato o imprevisto potrebbe applicare la remediation alla risorsa sbagliata.

Tra le remediation comuni eseguite da Lambda vi sono:

• Sostituire il security group di un'istanza compromessa con un security group di quarantena.
• Disabilitare una chiave di accesso IAM esposta.
• Abilitare Block Public Access su un bucket esposto.
• Rimuovere una regola di security group con autorizzazioni eccessive.

Ognuna consiste in poche chiamate API eseguite automaticamente dalla funzione.

Una funzione Lambda viene eseguita con un execution role. Le assegni solo le autorizzazioni necessarie per la remediation, senza aggiungere altro.

Una funzione di auto-remediation è potente per sua natura, quindi il suo ruolo è un obiettivo prioritario. Limitarne strettamente l'ambito riduce i danni se la funzione o il suo input dell'evento dovessero essere utilizzati impropriamente.

EventBridge può occasionalmente consegnare uno stesso evento più di una volta e un finding può ripresentarsi. Renda la remediation idempotent, cioè sicura da eseguire ripetutamente.

L'applicazione di un security group di quarantena già associato dovrebbe semplicemente avere esito positivo senza effetti collaterali, così le invocazioni duplicate non causano mai danni o errori.

Le azioni automatizzate possono essere disruptive, quindi aggiunga controlli di sicurezza. La funzione potrebbe verificare che la risorsa abbia un tag specifico, ignorare i sistemi di produzione protetti oppure richiedere una soglia di gravità già filtrata dal pattern.

Alcuni team sottopongono le azioni distruttive a un passaggio di approvazione per prevenire un'automazione fuori controllo.

Ogni remediation deve lasciare una traccia. Faccia in modo che la funzione scriva nei CloudWatch Logs e, facoltativamente, notifichi tramite SNS che cosa ha fatto e su quale risorsa.

Insieme a CloudTrail, che registra le chiamate API, questo fornisce un resoconto completo delle risposte automatizzate, utile per gli audit e per l'analisi post-incidente.

La remediation può non riuscire, ad esempio per autorizzazioni insufficienti, un'API soggetta a throttling o una risorsa eliminata. Configuri i retry e una dead-letter queue per evitare di perdere le invocazioni non riuscite.

La funzione dovrebbe inoltre avvisare una persona quando non riesce a completare l'operazione, così una remediation automatica fallita viene portata all'attenzione del team invece di lasciare silenziosamente una minaccia senza risposta.

Per consentire a EventBridge di chiamare la funzione, la regola deve avere l'autorizzazione a invocarla, concessa da una resource-based policy sulla funzione Lambda che considera attendibile il servizio EventBridge.

Il ruolo di esecuzione della funzione stabilisce ciò che questa può fare una volta avviata, mentre l'autorizzazione all'invocazione stabilisce chi può attivarla. Entrambe devono essere configurate affinché la pipeline funzioni.

Testi le funzioni di remediation con eventi di esempio in un account non di produzione prima di affidare loro incidenti reali.

Verifichi che agiscano sulla risorsa corretta, rispettino i vincoli di sicurezza e registrino correttamente le attività. Un'automazione che si attiva in modo errato può causare un'interruzione del servizio tanto quanto un attaccante, quindi la convalida è essenziale.

Perché è importante l'idempotenza?

AWS Lambda è il target flessibile che esegue l'auto-remediation quando una regola EventBridge intercetta un finding. La funzione legge il detail dell'evento, identifica la risorsa e chiama le API per correggere il problema, mettendo in quarantena le istanze, disabilitando le chiavi o chiudendo i bucket. Le assegni un execution role con privilegi minimi, renda le azioni idempotent, aggiunga vincoli di sicurezza e logging, gestisca gli errori con una DLQ e avvisi e svolga test approfonditi prima di utilizzarla in produzione.