Dopasowywanie ustaleń do wzorców zdarzeń

Nie chcą Państwo reagować na każde zdarzenie — tylko na te, które mają znaczenie. Wzorzec zdarzenia to filtr określający, na które zdarzenia reaguje reguła.

Precyzyjny wzorzec sprawia, że automatyzacja uruchamia się dokładnie wtedy, gdy pojawia się rzeczywiste zagrożenie, a poza tym pozostaje nieaktywna. Pozwala to uniknąć zarówno pominiętych alertów, jak i nadmiarowych fałszywych alarmów.

Wzorzec zdarzenia jest zapisanym w formacie JSON odzwierciedleniem struktury zdarzeń, do których się odnosi. Określają Państwo interesujące pola i wartości; zdarzenie pasuje tylko wtedy, gdy zgadza się każde określone pole.

Pominięte pola są ignorowane, więc wzorzec może być tak ogólny lub tak szczegółowy, jak jest to potrzebne.

Najczęściej używanym filtrem jest source — na przykład „aws.guardduty” lub „aws.macie”.

W połączeniu z detail-type zawęża to zdarzenia do określonego rodzaju z konkretnej usługi. To naturalny punkt wyjścia dla każdej reguły bezpieczeństwa, zanim zostanie ona dodatkowo uszczegółowiona.

Często chcą Państwo reagować tylko na poważne wykrycia. Dopasowując zagnieżdżone pola w detail, wzorzec może wymagać na przykład, aby ważność wykrycia GuardDuty przekraczała określony próg.

EventBridge obsługuje dopasowywanie numeryczne, takie jak warunek „większe niż”, dzięki czemu reguła może uruchamiać się tylko dla wykryć o wysokiej ważności i ignorować szum związany z niskim ryzykiem.

Wzorce obsługują bardziej rozbudowane operatory: dopasowywanie prefix, sprawdzanie exists, operator anything-but oraz dopasowywanie adresów IP w notacji CIDR.

Pozwala to wyrażać precyzyjne warunki — dopasować dowolny typ wykrycia zaczynający się od „UnauthorizedAccess” albo dowolne zdarzenie, w którym pole regionu istnieje, ale nie wskazuje Państwa głównego regionu.

GuardDuty generuje dziesiątki typów wykryć, takich jak Recon, CryptoCurrency czy InstanceCredentialExfiltration.

Dopasowując pole detail.type, można kierować różne zagrożenia do różnych działań naprawczych — kradzież danych uwierzytelniających do jednej funkcji Lambda, a wydobywanie kryptowalut do innej — aby każde zagrożenie otrzymało odpowiednią reakcję.

Wzorzec, który nigdy nie pasuje, powoduje niezauważoną awarię. Za pomocą piaskownicy w konsoli EventBridge można wkleić przykładowe zdarzenie i potwierdzić, że wzorzec je dopasowuje.

Testowanie na rzeczywistych przykładach zdarzeń przed wdrożeniem pozwala uniknąć kłopotliwej i niebezpiecznej sytuacji, w której automatyzacja po prostu nigdy się nie uruchamia.

Zbyt ogólny wzorzec uruchamia działania naprawcze dla nieszkodliwych zdarzeń, powodując zakłócenia — proszę sobie wyobrazić odizolowanie instancji przy każdym informacyjnym wykryciu o niskiej ważności.

Należy ograniczać wzorce do rzeczywistych zagrożeń. Sztuka polega na dopasowaniu wystarczającej liczby warunków, aby wykrywać prawdziwe incydenty, przy jednoczesnym wykluczeniu rutynowego szumu, który nie powinien uruchamiać automatycznych działań.

Ta sama składnia wzorców działa dla dowolnego źródła zdarzeń: zmian zgodności reguł Config, wykryć Security Hub, ustaleń Macie czy konkretnych wywołań API CloudTrail.

Jednokrotne poznanie wzorców zdarzeń pozwala tworzyć automatyzację bezpieczeństwa w całym środowisku AWS za pomocą jednego spójnego języka dopasowywania.

Zamiast tworzyć jeden ogromny wzorzec próbujący wykryć wszystko, warto zbudować kilka ukierunkowanych reguł, z których każda ma własny wzorzec i element docelowy.

Jedna reguła izoluje instancje przy wykryciach związanych z danymi uwierzytelniającymi, inna wysyła alerty wyłącznie przy rozpoznaniu o niskiej ważności, a kolejna reaguje na ustalenia Macie. Mniejsze reguły o jednym przeznaczeniu łatwiej testować, analizować i dostosowywać niż jedną rozbudowaną regułę przechwytującą wszystko.

Dopasowane zdarzenie jest użyteczne dopiero w połączeniu z elementem docelowym. Wzorzec określa, czy należy działać, a element docelowy — co należy zrobić.

Razem tworzą regułę: wykrycie tego rodzaju i o tej ważności uruchamia konkretne działanie naprawcze. To połączenie stanowi podstawę każdej automatycznej reakcji.

Wzorzec zdarzenia to filtr JSON określający, na które zdarzenia reaguje reguła. Dopasowuje on pola takie jak source, detail-type i zagnieżdżone wartości detail. Do określania progów ważności należy używać dopasowywania numerycznego, a operatory zaawansowane (prefix, exists, anything-but, CIDR) pozwalają precyzyjnie zawężać zakres. Dopasowywanie konkretnych typów wykryć GuardDuty umożliwia kierowanie różnych działań naprawczych, a testowanie wzorców w piaskownicy i unikanie nadmiernego dopasowywania gwarantuje, że automatyzacja uruchamia się tylko przy rzeczywistych zagrożeniach.