Wyzwalanie Lambda w celu automatycznego usuwania problemów

AWS Lambda uruchamia Państwa kod bez konieczności zarządzania serwerami, pobierając opłaty wyłącznie za czas wykonania. W automatyzacji bezpieczeństwa jest najbardziej elastycznym elementem docelowym do usuwania problemów.

Gdy EventBridge dopasuje wykrycie, wywołuje funkcję Lambda, która wykonuje działanie naprawcze — izoluje instancję, unieważnia klucz lub zamyka bucket — w ciągu kilku sekund.

Wzorzec jest spójny: detektor emituje finding, reguła EventBridge dopasowuje go, a następnie wywołuje funkcję Lambda, przekazując jej zdarzenie jako dane wejściowe.

Funkcja odczytuje szczegóły zdarzenia, identyfikuje zasób, którego dotyczy problem, i wywołuje interfejsy API AWS w celu jego skorygowania. Wykrywanie automatycznie przechodzi w naprawę — bez udziału człowieka.

EventBridge dostarcza funkcji pełny kod JSON zdarzenia. Kod wyodrębnia potrzebne informacje — identyfikator instancji, nazwę bucketa i problematyczny klucz — z obiektu detail.

Solidne funkcje sprawdzają poprawność tych danych, ponieważ działanie na nieprawidłowym lub nieoczekiwanym zdarzeniu mogłoby doprowadzić do skorygowania niewłaściwego zasobu.

Typowe działania korygujące Lambda obejmują:

• Zastąpienie grupy zabezpieczeń na zaatakowanej instancji grupą izolującą.
• Wyłączenie ujawnionego klucza dostępu IAM.
• Włączenie funkcji Block Public Access dla ujawnionego bucketa.
• Usunięcie zbyt liberalnej reguły grupy zabezpieczeń.

Każde z tych działań sprowadza się do kilku wywołań API wykonywanych automatycznie przez funkcję.

Funkcja Lambda działa z użyciem execution role. Należy nadać jej wyłącznie uprawnienia wymagane do przeprowadzenia korekty — nic więcej.

Funkcja automatycznego korygowania jest z założenia bardzo uprzywilejowana, dlatego jej rola stanowi atrakcyjny cel. Ścisłe ograniczenie zakresu uprawnień zmniejsza potencjalne szkody, gdyby funkcja lub dane wejściowe zdarzenia zostały wykorzystane w niepożądany sposób.

EventBridge może sporadycznie dostarczyć zdarzenie więcej niż raz, a finding może pojawić się ponownie. Działania korygujące powinny być idempotentne — bezpieczne do wielokrotnego uruchamiania.

Dołączenie grupy zabezpieczeń izolującej, która jest już przypisana, powinno po prostu zakończyć się powodzeniem bez skutków ubocznych, aby duplikaty wywołań nigdy nie powodowały szkód ani błędów.

Automatyczne działania mogą zakłócać działanie systemu, dlatego należy dodać mechanizmy bezpieczeństwa. Funkcja może sprawdzać, czy zasób ma określony tag, pomijać chronione systemy produkcyjne albo wymagać progu ważności, który został już uwzględniony w filtrowaniu przez wzorzec.

Niektóre zespoły wymagają zatwierdzenia przed wykonaniem destrukcyjnych działań, aby zapobiec niekontrolowanemu działaniu automatyzacji.

Każde działanie korygujące musi pozostawić ślad. Funkcja powinna zapisywać informacje w CloudWatch Logs i opcjonalnie wysyłać za pośrednictwem SNS powiadomienie o wykonanym działaniu oraz zasobie, którego ono dotyczyło.

W połączeniu z rejestrowaniem wywołań API przez CloudTrail zapewnia to kompletny zapis automatycznych reakcji na potrzeby audytu i analizy po incydencie.

Korygowanie może się nie powieść — z powodu braku uprawnień, ograniczenia przepustowości API albo usunięcia zasobu. Należy skonfigurować ponowienia i dead-letter queue, aby nie utracić nieudanych wywołań.

Funkcja powinna również powiadomić człowieka, gdy nie może zakończyć działania, aby nieudane automatyczne korygowanie skutkowało eskalacją, zamiast po cichu pozostawić zagrożenie bez reakcji.

Aby EventBridge mógł wywołać funkcję, reguła potrzebuje odpowiednich uprawnień — są one nadawane przez resource-based policy w usłudze Lambda, która ufa usłudze EventBridge.

Własna execution role funkcji określa, co może ona robić po uruchomieniu, natomiast to uprawnienie do wywołania określa, kto może ją uruchamiać. Oba elementy muszą być skonfigurowane, aby potok działał.

Przed powierzeniem funkcjom korygującym obsługi rzeczywistych incydentów należy przetestować je na przykładowych zdarzeniach na koncie nieprodukcyjnym.

Należy sprawdzić, czy działają na właściwym zasobie, respektują mechanizmy bezpieczeństwa i prawidłowo zapisują logi. Automatyzacja uruchamiająca się nieprawidłowo może spowodować awarię równie skutecznie jak atakujący, dlatego walidacja jest niezbędna.

Dlaczego idempotencja?

AWS Lambda to elastyczny cel, który przeprowadza automatyczne korygowanie, gdy reguła EventBridge dopasuje finding. Funkcja odczytuje detail zdarzenia, identyfikuje zasób i wywołuje interfejsy API, aby go naprawić — izolując instancje, wyłączając klucze lub zamykając buckety. Należy nadać jej execution role zgodną z zasadą najmniejszych uprawnień, zapewnić idempotentność działań, dodać mechanizmy bezpieczeństwa i rejestrowanie, obsługiwać błędy za pomocą DLQ i alertów oraz dokładnie przetestować rozwiązanie przed wdrożeniem go na produkcji.