Hvordan EventBridge ruter sikkerhetshendelser

Amazon EventBridge er en serverløs hendelsesbuss som kobler hendelser fra AWS-tjenester til mål som reagerer på dem.

I sikkerhetssammenheng er den forbindelsen mellom deteksjon og respons: Et funn fra GuardDuty blir en hendelse, EventBridge ruter den, og et mål som Lambda utfører automatisk remediering – alt på få sekunder.

En hendelse er en JSON-melding som beskriver noe som har skjedd – et funn er generert, en ressurs er endret eller et API er kalt.

AWS-tjenester genererer hendelser automatisk. Hver hendelse inneholder en kilde, en detaljtype og et detaljobjekt med spesifikke opplysninger. Til sammen gjør dette at De kan filtrere og rute presist.

Hendelser kommer inn på en hendelsesbuss. Hver konto har en standardbuss for hendelser fra AWS-tjenester, og De kan opprette egendefinerte busser for egne applikasjoner eller partnerintegrasjoner.

Ved å skille bussene holdes hendelsestrafikken organisert, og De kan bruke ulike regler og tillatelser på ulike strømmer.

En regel overvåker en buss og sammenligner hendelser med et hendelsesmønster. Når en hendelse samsvarer, sender regelen den til ett eller flere mål.

Denne rutingen fra kilde til mål er kjernen i automatisert sikkerhet: Den avgjør hvilke funn som utløser hvilke responser, uten polling eller egendefinert kode som må lytte etter hendelser.

Regler kan levere samsvarende hendelser til mange mål:

• Lambda-funksjoner for egendefinert remediering.
• SNS-emner for å varsle et team.
• Step Functions for arbeidsflyter med flere trinn.
• Systems Manager-automatiseringsdokumenter.

Én hendelse kan sendes videre til flere mål samtidig.

EventBridge muliggjør mønsteret for sikkerhetsautomatisering: En detektor (GuardDuty, Macie, Config eller Security Hub) genererer et funn, en regel samsvarer med det, og et mål utfører remediering eller varsler.

Dette gjør manuell triage om til umiddelbar og konsekvent handling, og reduserer kraftig tiden en angriper har fra deteksjon til inneslutning.

EventBridge leverer hendelser nesten i sanntid og er fullstendig serverløs – De trenger ingen infrastruktur å administrere, og tjenesten skalerer automatisk.

Denne hastigheten gjør automatisk remediering mulig: Et funn med høy alvorlighetsgrad kan føre til at en ressurs isoleres få sekunder etter deteksjonen, langt raskere enn en menneskelig operatør kan reagere.

EventBridge kan sende hendelser fra medlemskontoer til bussen i en sentral sikkerhetskonto.

Dette sentraliserer deteksjon og respons: Funn fra hele organisasjonen havner på én buss, der felles regler og remedieringslogikk håndterer dem konsekvent, i stedet for at automatisering dupliseres i hver konto.

I tillegg til tjenestehendelser støtter EventBridge planlagte regler (cron-lignende) for å kjøre periodiske sikkerhetskontroller, og den fanger opp CloudTrail API-hendelser slik at De kan reagere på bestemte API-kall.

En regel kan for eksempel utløses hver gang noen deaktiverer en sikkerhetskontroll, slik at det sendes et umiddelbart varsel.

EventBridge kan transformere en hendelse før den sendes til et mål, ved å omforme eller begrense JSON-en slik at målet mottar nøyaktig det det forventer.

Dermed kan ett funn gi et varsel med en lettforståelig melding og en remedierings-Lambda rådetaljer, uten at De må skrive limkode for å bearbeide nyttelasten imellom.

For robust automatisering tilbyr EventBridge nye forsøk og en dead-letter-kø (DLQ) for hendelser som ikke kan leveres.

Dette sørger for at en midlertidig feil ikke i det stille forkaster en kritisk sikkerhetshandling – en mislykket remediering havner i DLQ-en for gjennomgang i stedet for å forsvinne ubemerket.

Amazon EventBridge er en serverløs hendelsesbuss som ruter hendelser fra AWS-tjenester til mål ved hjelp av regler og hendelsesmønstre. Den er forbindelsen mellom deteksjon og respons: Et funn fra GuardDuty eller Macie samsvarer med en regel og utløser et Lambda-, SNS- eller Step Functions-mål nesten i sanntid. Den støtter ruting på tvers av kontoer til en sikkerhetskonto, planlagte og API-drevne regler samt DLQ-baserte nye forsøk for pålitelig automatisering.