이벤트 패턴으로 조사 결과 매칭

모든 이벤트에 반응하고 싶은 것은 아니며 중요한 이벤트에만 반응해야 합니다. 이벤트 패턴은 규칙이 어떤 이벤트에 동작할지 결정하는 필터입니다.

정확한 패턴을 사용하면 실제 위협이 나타날 때만 자동화가 실행되고 그 외에는 조용히 유지됩니다. 따라서 경고를 놓치는 문제와 불필요한 오탐 실행을 모두 피할 수 있습니다.

이벤트 패턴은 일치시킬 이벤트의 구조를 그대로 반영하는 JSON입니다. 관심 있는 필드와 값을 지정하며, 지정한 모든 필드가 일치할 때만 이벤트가 일치합니다.

생략한 필드는 무시되므로 패턴을 필요한 만큼 넓거나 좁게 설정할 수 있습니다.

가장 일반적인 필터는 소스입니다. 예를 들면 "aws.guardduty" 또는 "aws.macie"가 있습니다.

이벤트 유형과 함께 사용하면 특정 서비스에서 발생한 특정 종류의 이벤트로 범위를 좁힐 수 있습니다. 더 세밀하게 조정하기 전에 모든 보안 규칙을 시작하기에 적합한 방법입니다.

심각한 Finding에만 조치하고 싶은 경우가 많습니다. 세부 정보에 포함된 중첩 필드를 일치시키면 패턴에서 GuardDuty 심각도가 특정 기준 이상이어야 한다고 지정할 수 있습니다.

EventBridge는 초과와 같은 숫자 일치를 지원하므로, 규칙이 심각도가 높은 Finding에만 실행되고 위험이 낮은 불필요한 이벤트는 무시하도록 할 수 있습니다.

패턴은 접두사 일치, 존재 확인, anything-but, IP 주소 CIDR 일치와 같은 더 다양한 연산자를 지원합니다.

이를 사용하면 정확한 조건을 표현할 수 있습니다. 예를 들어 "UnauthorizedAccess"로 시작하는 모든 Finding 유형이나, 리전 필드가 존재하지만 홈 리전은 아닌 모든 이벤트를 일치시킬 수 있습니다.

GuardDuty는 Recon, CryptoCurrency, InstanceCredentialExfiltration과 같은 수십 가지 Finding 유형을 생성합니다.

detail.type 필드를 일치시키면 서로 다른 위협을 서로 다른 문제 해결 방법으로 라우팅할 수 있습니다. 예를 들어 자격 증명 탈취는 한 Lambda로, 암호화폐 채굴은 다른 Lambda로 보내 각 위협에 적절한 대응을 적용할 수 있습니다.

절대 일치하지 않는 패턴은 조용한 실패를 일으킵니다. EventBridge 콘솔의 샌드박스에 샘플 이벤트를 붙여 넣고 패턴이 일치하는지 확인하십시오.

배포하기 전에 실제 이벤트 샘플로 테스트하면 자동화가 전혀 실행되지 않는 당황스럽고 위험한 상황을 방지할 수 있습니다.

패턴이 지나치게 넓으면 무해한 이벤트에도 문제 해결이 실행되어 장애가 발생할 수 있습니다. 심각도가 낮은 정보성 Finding이 발생할 때마다 인스턴스를 격리하는 상황을 생각해 보십시오.

패턴의 범위를 실제 위협으로 제한하십시오. 실제 사고를 포착할 만큼 충분히 일치시키면서 자동 조치를 실행해서는 안 되는 일상적인 불필요한 이벤트는 제외하는 것이 핵심입니다.

동일한 패턴 문법을 모든 이벤트 소스에 사용할 수 있습니다. Config 규칙의 규정 준수 변경, Security Hub Finding, Macie 검색 결과, 특정 CloudTrail API 호출 등에 적용할 수 있습니다.

이벤트 패턴을 한 번 익히면 일관된 하나의 일치 언어를 사용하여 전체 AWS 환경에서 보안 자동화를 구축할 수 있습니다.

모든 것을 하나의 거대한 패턴으로 처리하려 하기보다, 각각 고유한 패턴과 대상을 가진 여러 개의 집중된 규칙을 구성하십시오.

한 규칙은 자격 증명 관련 Finding이 발생하면 인스턴스를 격리하고, 다른 규칙은 심각도가 낮은 정찰 이벤트에만 경고를 보내며, 또 다른 규칙은 Macie 검색 결과에 대응하도록 할 수 있습니다. 작고 단일 목적을 가진 규칙은 하나의 거대한 포괄 규칙보다 테스트하고 이해하고 조정하기 쉽습니다.

일치하는 이벤트는 대상과 함께 사용해야 유용합니다. 패턴은 조치를 취할 지 여부를 결정하고, 대상은 무엇을 할지 결정합니다.

이 둘이 함께 하나의 규칙을 구성합니다. 특정 심각도의 특정 Finding 유형이 특정 문제 해결을 트리거하는 방식입니다. 이러한 결합이 모든 자동 대응의 핵심입니다.

정확한 필터를 선택하십시오.

이벤트 패턴은 규칙이 어떤 이벤트에 동작할지 결정하는 JSON 필터입니다. 소스, 이벤트 유형, 중첩된 세부 정보 값과 같은 필드를 기준으로 일치시킵니다. 심각도 기준에는 숫자 일치를 사용하고, 정확하게 범위를 지정하려면 고급 연산자(접두사, 존재, anything-but, CIDR)를 사용하십시오. 특정 GuardDuty Finding 유형을 일치시켜 서로 다른 문제 해결 방법으로 라우팅하고, 샌드박스에서 패턴을 테스트하며, 과도한 일치를 피하여 실제 위협에만 자동화가 실행되도록 하십시오.