Wnioski i niestandardowe akcje ustaleń

Długa lista znormalizowanych findingów nadal jest trudna do praktycznego wykorzystania. Security Hub udostępnia dwa narzędzia, które zamieniają tę listę w ukierunkowane działania: insights, grupujące powiązane findingi, oraz custom actions, pozwalające uruchamiać workflow na podstawie wybranych findingów.

Insight w Security Hub to zapisane grupowanie findingów zebranych za pomocą filtra i atrybutu „group by”. Na przykład insight może grupować aktywne findingi według zasobu, aby pokazać, które zasoby mają najwięcej problemów. Insights ujawniają wzorce, których nie widać w pojedynczych findingach.

Security Hub zawiera gotowe managed insights, takie jak „AWS resources with the most findings” lub „S3 buckets with public access”. Te wstępnie zdefiniowane grupowania od razu dostarczają wartości, wskazując obszary największej koncentracji problemów bez konieczności samodzielnego definiowania konfiguracji.

Mogą Państwo również tworzyć custom insights dopasowane do konkretnych potrzeb, filtrując według dowolnego pola ASFF i grupując według innego. Zespół może na przykład utworzyć insight dla findingów o wysokim poziomie ważności, pogrupowanych według kont, aby skupić uwagę dokładnie tam, gdzie występuje ryzyko.

Grupowanie zamienia szum informacyjny w priorytety. Zamiast przewijać tysiące findingów, insight informuje: „te pięć zasobów odpowiada za większość ryzyka”. Kieruje to działania naprawcze na poprawki o największym wpływie i wspiera ustalanie priorytetów, które jest istotne na egzaminie.

Custom action w Security Hub to nazwany wyzwalacz przypisany do findingów. Gdy analityk wybierze findingi i tę akcję, Security Hub emituje zdarzenie do EventBridge. Jest to połączenie między ręcznym triage a automatyczną reakcją.

Każda custom action ma własny ARN i generuje zdarzenie EventBridge zawierające wybrane findingi. Następnie reguła EventBridge kieruje to zdarzenie do celu, takiego jak funkcja Lambda, workflow Step Functions lub integracja z systemem obsługi zgłoszeń, aby przeprowadzić działania naprawcze albo eskalować problem.

Custom actions umożliwiają reakcję inicjowaną przez analityka: człowiek analizuje sytuację, a następnie klika, aby rozpocząć działania naprawcze. W przypadku w pełni automatycznej reakcji należy zamiast tego bezpośrednio dopasowywać findingi za pomocą reguł EventBridge, tak aby działanie odbywało się bez udziału człowieka. Znajomość obu wzorców pomaga wybrać właściwe rozwiązanie.

Security Hub oferuje również automation rules, które automatycznie aktualizują findingi, na przykład podnosząc poziom ważności lub zmieniając status workflow po spełnieniu kryteriów. Reguły te porządkują strumień findingów, zanim trafi on do analityka lub kolejnego etapu automatyzacji.

Reguły automatyzacji działają, gdy finding spełnia zdefiniowane kryteria dotyczące pól ASFF, a następnie wprowadzają zmiany, takie jak ustawienie poziomu ważności, aktualizacja statusu workflow lub dodanie notatki. Przykładowo reguła może automatycznie wyciszać findingi o niskim poziomie ważności pochodzące ze znanego konta testowego. W ten sposób spójnie porządkuje strumień, zanim zobaczą go analitycy lub dalsza automatyzacja.

Aby wybrać odpowiedni wzorzec, należy zadać sobie pytanie, czy sytuację powinien najpierw przeanalizować człowiek. Custom actions sprawdzają się w przypadku reakcji wymagających oceny, inicjowanych przez analityka; bezpośrednie reguły EventBridge pasują do jednoznacznych, masowych findingów, które powinny być naprawiane natychmiast, bez oczekiwania. Wiele zespołów łączy oba podejścia: oczywiste przypadki naprawia automatycznie, a niejednoznaczne kieruje do analityków za pomocą custom actions.

Połącz findingi z reakcją.

Insights w Security Hub grupują findingi według filtra i atrybutu (zarządzanego lub własnego), aby pokazać, gdzie koncentruje się ryzyko. Custom actions pozwalają analitykowi wysłać wybrane findingi do EventBridge w celu podjęcia reakcji, podczas gdy bezpośrednie reguły EventBridge umożliwiają w pełni automatyczne działania naprawcze, a automation rules automatycznie aktualizują findingi. Razem zamieniają zagregowane findingi w workflow.