Insights og egendefinerte funnhandlinger

En lang liste med normaliserte funn er fortsatt vanskelig å handle på. Security Hub tilbyr to verktøy som gjør listen om til målrettede tiltak: innsikter som grupperer relaterte funn, og egendefinerte handlinger som lar Dem utløse arbeidsflyter fra utvalgte funn.

En innsikt i Security Hub er en lagret gruppering av funn som samles inn ved hjelp av et filter og et attributt det skal grupperes etter. En innsikt kan for eksempel gruppere aktive funn etter ressurs for å vise hvilke ressurser som har flest problemer. Innsikter synliggjør mønstre som enkeltfunn skjuler.

Security Hub leveres med administrerte innsikter ferdig konfigurert, for eksempel «AWS-ressurser med flest funn» eller «S3-bøtter med offentlig tilgang». Disse forhåndsbygde grupperingene gir umiddelbar verdi ved å fremheve risikoområder uten at De trenger å definere noe.

De kan også bygge egendefinerte innsikter tilpasset Deres behov, med filtrering på et hvilket som helst ASFF-felt og gruppering etter et annet. Et team kan for eksempel opprette en innsikt for funn med høy alvorlighetsgrad, gruppert etter konto, slik at oppmerksomheten rettes mot akkurat der risikoen ligger.

Gruppering gjør støy om til prioriteringer. I stedet for å bla gjennom tusenvis av funn forteller en innsikt Dem at «disse fem ressursene står for det meste av risikoen». Dette styrer utbedringen mot tiltakene med størst effekt og støtter prioriteringen som eksamen legger vekt på.

En egendefinert handling i Security Hub er en navngitt utløser som De knytter til funn. Når en analytiker velger funn og denne handlingen, sender Security Hub en hendelse til EventBridge. Dette er forbindelsen mellom menneskestyrt triage og automatisert respons.

Hver egendefinerte handling har sin egen ARN og produserer en EventBridge-hendelse som inneholder de valgte funnene. En EventBridge-regel videresender deretter hendelsen til et mål, for eksempel en Lambda-funksjon, en Step Functions-arbeidsflyt eller en integrasjon for saksbehandling, for å utbedre eller eskalere saken.

Egendefinerte handlinger muliggjør respons initiert av en analytiker: et menneske vurderer saken og klikker deretter for å utbedre den. For fullstendig automatisk respons matcher De i stedet funn direkte med EventBridge-regler, slik at handlingen skjer uten en person. Når De kjenner begge mønstrene, kan De velge det riktige.

Security Hub tilbyr også automatiseringsregler som automatisk oppdaterer funn, for eksempel ved å øke alvorlighetsgraden eller endre workflow-status når kriteriene samsvarer. Disse reglene finjusterer funnsstrømmen før den når en analytiker eller en etterfølgende automatisering.

Automatiseringsregler aktiveres når et funn samsvarer med definerte kriterier i ASFF-felter. Deretter utfører de endringer som å angi alvorlighetsgrad, oppdatere workflow-status eller legge til et notat. En regel kan for eksempel automatisk undertrykke funn med lav alvorlighetsgrad fra en kjent testkonto. Slik finjusteres strømmen konsekvent før analytikere eller etterfølgende automatisering ser den.

For å velge mellom mønstrene bør De spørre om et menneske skal vurdere saken først. Egendefinerte handlinger passer for responser som krever skjønn og initieres av en analytiker, mens direkte EventBridge-regler passer for entydige funn i stort volum som bør utbedres umiddelbart uten å vente. Mange team kombinerer begge deler: De utbedrer det åpenbare automatisk og sender det tvetydige til analytikere via egendefinerte handlinger.

Security Hub innsikter grupperer funn etter et filter og et attributt (administrert eller egendefinert) for å vise hvor risikoen konsentrerer seg. Egendefinerte handlinger lar en analytiker sende utvalgte funn til EventBridge for respons, mens direkte EventBridge-regler muliggjør fullstendig automatisk utbedring, og automatiseringsregler oppdaterer funn automatisk. Sammen gjør de aggregerte funn om til arbeidsflyter.