Cerapan dan Tindakan Penemuan Tersuai

Senarai panjang penemuan yang dinormalkan masih sukar untuk diambil tindakan. Security Hub menyediakan dua alat untuk menukarkan senarai itu kepada tindakan yang terarah: cerapan yang mengumpulkan penemuan berkaitan, dan tindakan tersuai yang membolehkan anda mencetuskan aliran kerja daripada penemuan yang dipilih.

Cerapan Security Hub ialah pengumpulan penemuan yang disimpan, dikumpulkan berdasarkan penapis dan atribut "kumpulkan mengikut". Contohnya, cerapan boleh mengumpulkan penemuan aktif mengikut sumber untuk menunjukkan sumber yang mempunyai paling banyak masalah. Cerapan mendedahkan corak yang tidak kelihatan melalui penemuan tunggal.

Security Hub disertakan dengan cerapan terurus yang boleh digunakan terus, seperti "sumber AWS dengan penemuan terbanyak" atau "baldi S3 dengan akses awam". Pengumpulan yang telah dibina ini memberikan nilai serta-merta dengan menyerlahkan kawasan bermasalah tanpa memerlukan anda mentakrifkan apa-apa.

Anda juga boleh membina cerapan tersuai yang disesuaikan dengan keperluan anda, dengan menapis mana-mana medan ASFF dan mengumpulkan mengikut medan lain. Sesebuah pasukan mungkin mencipta cerapan untuk penemuan tahap keterukan tinggi yang dikumpulkan mengikut akaun, supaya perhatian tertumpu tepat pada lokasi risikonya.

Pengumpulan menukarkan gangguan kepada keutamaan. Daripada menatal ribuan penemuan, cerapan memberitahu anda bahawa "lima sumber ini menyumbang kepada sebahagian besar risiko". Hal ini mengarahkan pemulihan kepada pembaikan yang memberi kesan paling besar, selaras dengan keutamaan yang ditekankan dalam peperiksaan.

Tindakan tersuai dalam Security Hub ialah pencetus bernama yang anda lampirkan pada penemuan. Apabila penganalisis memilih penemuan dan tindakan tersebut, Security Hub mengeluarkan peristiwa kepada EventBridge. Inilah jambatan daripada triage manusia kepada tindak balas automatik.

Setiap tindakan tersuai mempunyai ARN sendiri dan menghasilkan peristiwa EventBridge yang membawa penemuan yang dipilih. Peraturan EventBridge kemudiannya menghalakan peristiwa itu kepada sasaran, seperti fungsi Lambda, aliran kerja Step Functions atau penyepaduan sistem tiket, untuk memulihkan atau meningkatkan keutamaan isu.

Tindakan tersuai membolehkan tindak balas yang dimulakan oleh penganalisis: manusia menyemak dan kemudian mengklik untuk melakukan pemulihan. Untuk tindak balas automatik sepenuhnya, anda sebaliknya memadankan penemuan secara terus dengan peraturan EventBridge supaya tindakan berlaku tanpa manusia. Dengan mengetahui kedua-dua corak ini, anda dapat memilih corak yang tepat.

Security Hub juga menawarkan peraturan automasi yang mengemas kini penemuan secara automatik, contohnya dengan menaikkan tahap keterukan atau menukar status aliran kerja apabila kriteria dipenuhi. Peraturan ini memperkemas aliran penemuan sebelum penemuan tersebut sampai kepada penganalisis atau automasi hiliran.

Peraturan automasi bertindak apabila penemuan sepadan dengan kriteria yang ditakrifkan pada medan ASFF, kemudian menggunakan perubahan seperti menetapkan tahap keterukan, mengemas kini status aliran kerja atau menambah nota. Contohnya, peraturan boleh menyekat penemuan bertahap keterukan rendah daripada akaun ujian yang diketahui secara automatik. Ini memperkemas aliran secara konsisten sebelum penganalisis atau automasi hiliran melihatnya.

Untuk memilih antara kedua-dua corak, tanyakan sama ada manusia perlu menyemak terlebih dahulu. Tindakan tersuai sesuai untuk tindak balas yang memerlukan pertimbangan dan dimulakan oleh penganalisis; peraturan EventBridge terus sesuai untuk penemuan yang jelas dan banyak, yang perlu dipulihkan serta-merta tanpa menunggu. Banyak pasukan menggabungkan kedua-duanya: memulihkan perkara yang jelas secara automatik dan menghalakan perkara yang samar kepada penganalisis melalui tindakan tersuai.

Cerapan Security Hub mengumpulkan penemuan mengikut penapis dan atribut (terurus atau tersuai) untuk mendedahkan lokasi tumpuan risiko. Tindakan tersuai membolehkan penganalisis menghantar penemuan terpilih kepada EventBridge untuk tindak balas, manakala peraturan EventBridge terus membolehkan pemulihan automatik sepenuhnya dan peraturan automasi mengemas kini penemuan secara automatik. Bersama-sama, semua ini menukarkan penemuan terkumpul kepada aliran kerja.