Mencetuskan Lambda untuk Pemulihan Automatik

AWS Lambda menjalankan kod Anda tanpa perlu mengurus pelayan dan hanya mengenakan caj untuk tempoh pelaksanaan. Dalam automasi keselamatan, ia ialah sasaran pembaikan yang paling fleksibel.

Apabila EventBridge memadankan Finding, ia memanggil fungsi Lambda yang melaksanakan pembaikan — mengasingkan tika, membatalkan kunci atau menutup baldi — dalam beberapa saat.

Coraknya konsisten: pengesan mengeluarkan satu temuan, peraturan EventBridge memadankannya, kemudian peraturan itu memanggil fungsi Lambda sambil menghantar peristiwa tersebut sebagai input.

Fungsi itu membaca butiran peristiwa, mengenal pasti sumber yang terjejas, lalu memanggil API AWS untuk menjalankan pemulihan. Pengesanan berubah menjadi pembetulan tanpa campur tangan manusia.

EventBridge menghantar keseluruhan JSON peristiwa kepada fungsi tersebut. Kod mengekstrak perkara yang diperlukan — ID tika, nama baldi, kunci yang melanggar peraturan — daripada objek detail.

Fungsi yang teguh mengesahkan input ini kerana tindakan terhadap peristiwa yang rosak atau tidak dijangka boleh memulihkan sumber yang salah.

Pemulihan Lambda yang biasa termasuk:

• Menggantikan kumpulan keselamatan pada tika yang telah terjejas dengan kumpulan kuarantin.
• Melumpuhkan kunci akses IAM yang telah bocor.
• Mendayakan Block Public Access pada baldi yang terdedah.
• Membuang peraturan kumpulan keselamatan yang memberikan kebenaran berlebihan.

Setiap tindakan hanya memerlukan beberapa panggilan API yang dibuat oleh fungsi secara automatik.

Fungsi Lambda berjalan dengan peranan pelaksanaan. Berikan hanya kebenaran yang diperlukan oleh pemulihannya — tidak lebih daripada itu.

Fungsi pemulihan automatik sememangnya berkuasa, maka peranannya menjadi sasaran utama. Mengehadkan skopnya dengan ketat mengurangkan kerosakan jika fungsi atau input peristiwanya disalahgunakan.

EventBridge kadangkala boleh menghantar sesuatu peristiwa lebih daripada sekali, dan temuan mungkin berulang. Jadikan pemulihan idempotent — selamat untuk dijalankan berulang kali.

Menggunakan kumpulan keselamatan kuarantin yang sudah dilampirkan sepatutnya berjaya tanpa kesan sampingan, supaya pemanggilan pendua tidak pernah menyebabkan kerosakan atau ralat.

Tindakan automatik boleh mengganggu operasi, jadi tambahkan pemeriksaan keselamatan. Fungsi itu mungkin mengesahkan bahawa sumber mempunyai tanda khusus, melangkau sistem pengeluaran yang dilindungi, atau memerlukan ambang keterukan yang telah ditapis oleh corak tersebut.

Sesetengah pasukan meletakkan tindakan yang merosakkan di sebalik langkah kelulusan untuk mengelakkan automasi yang tidak terkawal.

Setiap pemulihan mesti meninggalkan jejak. Minta fungsi menulis ke CloudWatch Logs dan, secara pilihan, menghantar pemberitahuan melalui SNS tentang tindakan yang dilakukannya serta sumber yang terlibat.

Digabungkan dengan CloudTrail yang merekodkan panggilan API, kaedah ini memberikan rekod lengkap tindak balas automatik untuk audit dan semakan selepas insiden.

Pemulihan boleh gagal — kekurangan kebenaran, API yang dihadkan kadarnya, atau sumber yang telah dipadamkan. Konfigurasikan percubaan semula dan baris gilir surat mati supaya pemanggilan yang gagal tidak hilang.

Fungsi itu juga hendaklah memberi amaran kepada manusia apabila tidak dapat diselesaikan, supaya pemulihan automatik yang gagal dinaikkan untuk perhatian dan bukannya membiarkan ancaman tanpa tindakan secara senyap.

Untuk membolehkan EventBridge memanggil fungsi anda, peraturan itu memerlukan kebenaran untuk memanggilnya — diberikan oleh dasar berasaskan sumber pada Lambda yang mempercayai perkhidmatan EventBridge.

Peranan pelaksanaan fungsi itu sendiri menentukan perkara yang boleh dilakukannya selepas berjalan, manakala kebenaran panggilan ini menentukan pihak yang dibenarkan untuk mencetuskannya. Kedua-duanya mesti tersedia supaya aliran kerja dapat berfungsi.

Uji fungsi pemulihan terhadap peristiwa contoh dalam akaun bukan pengeluaran sebelum mempercayainya untuk menangani insiden sebenar.

Sahkan bahawa fungsi tersebut bertindak pada sumber yang betul, mematuhi kawalan keselamatannya dan mencatat dengan betul. Automasi yang tercetus secara salah boleh menyebabkan gangguan seperti penyerang, maka pengesahan amat penting.

AWS Lambda ialah sasaran fleksibel yang melaksanakan pemulihan automatik apabila peraturan EventBridge memadankan sesuatu temuan. Fungsi itu membaca detail peristiwa, mengenal pasti sumber dan memanggil API untuk membaikinya — mengkuarantin tika, melumpuhkan kunci atau menutup baldi. Berikan peranan pelaksanaan dengan keistimewaan minimum, jadikan tindakan idempotent, tambahkan kawalan keselamatan dan pengelogan, kendalikan kegagalan dengan DLQ serta amaran, dan jalankan ujian menyeluruh sebelum mempercayainya dalam pengeluaran.