Jak EventBridge kieruje zdarzeniami bezpieczeństwa

Amazon EventBridge to bezserwerowa magistrala zdarzeń, która łączy zdarzenia z usług AWS z elementami docelowymi reagującymi na te zdarzenia.

W kontekście bezpieczeństwa stanowi ogniwo łączące wykrywanie z reakcją: wykrycie w GuardDuty staje się zdarzeniem, EventBridge kieruje je dalej, a element docelowy, taki jak Lambda, automatycznie usuwa problem — wszystko w ciągu kilku sekund.

Zdarzenie to komunikat JSON opisujący coś, co się wydarzyło — wygenerowane wykrycie, zmianę zasobu lub wywołanie interfejsu API.

Usługi AWS automatycznie emitują zdarzenia. Każde z nich zawiera źródło, typ szczegółów i obiekt szczegółów z konkretnymi informacjami, co razem pozwala precyzyjnie dopasowywać zdarzenia i kierować je dalej.

Zdarzenia trafiają na magistralę zdarzeń. Każde konto ma magistralę domyślną dla zdarzeń usług AWS; można też tworzyć magistrale niestandardowe na potrzeby własnych aplikacji lub integracji partnerskich.

Rozdzielenie magistral porządkuje ruch zdarzeń i pozwala stosować różne reguły oraz uprawnienia do różnych strumieni.

Reguła obserwuje magistralę i dopasowuje zdarzenia do wzorca zdarzenia. Gdy zdarzenie pasuje, reguła wysyła je do co najmniej jednego elementu docelowego.

To kierowanie od źródła do celu stanowi podstawę automatyzacji bezpieczeństwa: określa, które wykrycia uruchamiają konkretne reakcje, bez odpytywania i niestandardowego kodu nasłuchującego zdarzeń.

Reguły mogą dostarczać dopasowane zdarzenia do wielu elementów docelowych:

• funkcje Lambda do niestandardowego usuwania problemów;
• tematy SNS do powiadamiania zespołu;
• Step Functions do obsługi wieloetapowych przepływów pracy;
• dokumenty automatyzacji Systems Manager.

Jedno zdarzenie można jednocześnie rozesłać do kilku elementów docelowych.

EventBridge umożliwia stosowanie wzorca automatyzacji bezpieczeństwa: detektor (GuardDuty, Macie, Config lub Security Hub) emituje wykrycie, reguła je dopasowuje, a element docelowy usuwa problem lub wysyła alert.

Przekształca to ręczną analizę w natychmiastowe, spójne działanie i znacząco skraca czas, jaki napastnik ma między wykryciem a powstrzymaniem zagrożenia.

EventBridge dostarcza zdarzenia niemal w czasie rzeczywistym i działa w pełni bezserwerowo — nie trzeba zarządzać infrastrukturą, a usługa automatycznie skaluje się wraz z obciążeniem.

To właśnie ta szybkość sprawia, że automatyczne usuwanie problemów jest możliwe: wykrycie o wysokim poziomie ważności może doprowadzić do odizolowania zasobu w ciągu kilku sekund, znacznie szybciej, niż mógłby zareagować człowiek.

EventBridge może wysyłać zdarzenia z kont członkowskich do magistrali centralnego konta bezpieczeństwa.

Centralizuje to wykrywanie i reagowanie: wykrycia z całej organizacji trafiają na jedną magistralę, gdzie wspólne reguły i logika usuwania problemów obsługują je spójnie, zamiast powielać automatyzację na każdym koncie.

Oprócz zdarzeń usług EventBridge obsługuje reguły cykliczne (podobne do cron), służące do uruchamiania okresowych kontroli bezpieczeństwa, oraz przechwytuje zdarzenia API CloudTrail, dzięki czemu można reagować na konkretne wywołania API.

Przykładowo reguła może uruchamiać się za każdym razem, gdy ktoś wyłączy mechanizm kontroli bezpieczeństwa, i natychmiast wysyłać alert.

EventBridge może przekształcić zdarzenie przed przekazaniem go do elementu docelowego, zmieniając strukturę lub skracając kod JSON tak, aby element docelowy otrzymał dokładnie to, czego oczekuje.

Dzięki temu jedno wykrycie może zasilić powiadomienie przyjaznym komunikatem, a funkcję Lambda usuwającą problem — surowymi szczegółami, bez pisania kodu pośredniczącego do modyfikowania danych.

Na potrzeby niezawodnej automatyzacji EventBridge oferuje ponowienia oraz kolejkę niedostarczonych wiadomości (DLQ) dla zdarzeń, których nie udało się dostarczyć.

Gwarantuje to, że przejściowa awaria nie spowoduje po cichu utraty krytycznego działania związanego z bezpieczeństwem — nieudane usunięcie problemu trafi do DLQ do sprawdzenia, zamiast zniknąć niezauważone.

Amazon EventBridge to bezserwerowa magistrala zdarzeń, która kieruje zdarzenia z usług AWS do elementów docelowych za pomocą reguł i wzorców zdarzeń. Łączy wykrywanie z reakcją: wykrycie z GuardDuty lub Macie pasuje do reguły i niemal w czasie rzeczywistym uruchamia element docelowy Lambda, SNS albo Step Functions. Obsługuje kierowanie zdarzeń między kontami do konta bezpieczeństwa, reguły cykliczne i sterowane wywołaniami API, a także ponowienia wspierane przez DLQ, zapewniające niezawodność automatyzacji.