Insights en aangepaste findingacties

Een lange lijst met genormaliseerde bevindingen is nog steeds lastig om op te handelen. Security Hub voegt twee hulpmiddelen toe om die lijst om te zetten in gerichte acties: inzichten die gerelateerde bevindingen groeperen en aangepaste acties waarmee je workflows vanuit geselecteerde bevindingen kunt starten.

Een inzicht in Security Hub is een opgeslagen groepering van bevindingen die wordt bepaald door een filter en een kenmerk waarop je groepeert. Een inzicht kan bijvoorbeeld actieve bevindingen per resource groeperen om te laten zien welke resources de meeste problemen hebben. Inzichten maken patronen zichtbaar die afzonderlijke bevindingen verbergen.

Security Hub wordt standaard geleverd met beheerde inzichten, zoals "AWS-resources met de meeste bevindingen" of "S3-buckets met openbare toegang". Deze vooraf gebouwde groeperingen leveren direct waarde en brengen knelpunten aan het licht zonder dat je iets hoeft te definiëren.

Je kunt ook aangepaste inzichten maken die zijn afgestemd op jouw aandachtspunten. Je kunt filteren op elk ASFF-veld en groeperen op een ander veld. Een team kan bijvoorbeeld een inzicht maken voor bevindingen met een hoge ernst, gegroepeerd per account, zodat de aandacht precies daarheen gaat waar het risico zich bevindt.

Groeperen zet ruis om in prioriteiten. In plaats van door duizenden bevindingen te scrollen, vertelt een inzicht je: "deze vijf resources zijn verantwoordelijk voor het grootste deel van het risico." Hierdoor richt je herstelwerk op oplossingen met de grootste impact, wat aansluit bij de prioritering die in het examen belangrijk is.

Een aangepaste actie in Security Hub is een benoemde trigger die je aan bevindingen koppelt. Wanneer een analist bevindingen selecteert en die actie kiest, verstuurt Security Hub een gebeurtenis naar EventBridge. Dit vormt de brug tussen menselijke triage en geautomatiseerde respons.

Elke aangepaste actie heeft een eigen ARN en produceert een EventBridge-gebeurtenis met de geselecteerde bevindingen. Een EventBridge-regel routeert die gebeurtenis vervolgens naar een doel, zoals een Lambda-functie, een Step Functions-workflow of een ticketintegratie, om herstel uit te voeren of te escaleren.

Met aangepaste acties kan een door een analist geïnitieerde respons worden uitgevoerd: een persoon beoordeelt de situatie en klikt vervolgens om herstel uit te voeren. Voor een volledig automatische respons koppel je bevindingen rechtstreeks aan EventBridge-regels, zodat de actie zonder tussenkomst van een persoon plaatsvindt. Als je beide patronen kent, kun je het juiste patroon kiezen.

Security Hub biedt ook automatiseringsregels die bevindingen automatisch bijwerken, bijvoorbeeld door de ernst te verhogen of de workflowstatus te wijzigen wanneer aan criteria wordt voldaan. Deze regels verfijnen de stroom van bevindingen voordat die een analist of verdere automatisering bereikt.

Automatiseringsregels worden actief wanneer een bevinding voldoet aan vastgelegde criteria voor ASFF-velden. Vervolgens passen ze wijzigingen toe, zoals het instellen van de ernst, het bijwerken van de workflowstatus of het toevoegen van een notitie. Een regel kan bijvoorbeeld bevindingen met een lage ernst uit een bekend testaccount automatisch onderdrukken. Zo wordt de stroom consistent verfijnd voordat analisten of verdere automatisering deze ooit zien.

Om tussen patronen te kiezen, vraag je je af of een persoon eerst moet beoordelen. Aangepaste acties zijn geschikt voor reacties waarbij het oordeel van een analist belangrijk is; directe EventBridge-regels zijn geschikt voor duidelijke bevindingen met een groot volume die onmiddellijk moeten worden hersteld. Veel teams combineren beide: ze herstellen het voor de hand liggende automatisch en sturen het onduidelijke via aangepaste acties naar analisten.

De inzichten van Security Hub groeperen bevindingen op basis van een filter en kenmerk (beheerd of aangepast), zodat zichtbaar wordt waar risico's zich concentreren. Met aangepaste acties kan een analist geselecteerde bevindingen voor respons naar EventBridge sturen. Directe EventBridge-regels maken volledig automatisch herstel mogelijk en automatiseringsregels werken bevindingen automatisch bij. Samen zetten ze geaggregeerde bevindingen om in workflows.