Insights e Ações Personalizadas para Descobertas

Uma lista extensa de constatações normalizadas ainda é difícil de transformar em ações. O Security Hub oferece duas ferramentas para converter essa lista em ações focadas: visões analíticas que agrupam constatações relacionadas e ações personalizadas que permitem disparar fluxos de trabalho a partir de constatações selecionadas.

Uma visão analítica do Security Hub é um agrupamento salvo de constatações coletadas por um filtro e um atributo de agrupamento. Por exemplo, uma visão analítica pode agrupar constatações ativas por recurso para revelar quais recursos têm mais problemas. As visões analíticas mostram padrões que constatações individuais ocultam.

O Security Hub inclui visões analíticas gerenciadas prontas para uso, como "recursos da AWS com mais constatações" ou "buckets do S3 com acesso público". Esses agrupamentos pré-criados oferecem valor imediato, destacando pontos críticos sem que você precise definir nada.

Você também pode criar visões analíticas personalizadas adaptadas às suas preocupações, filtrando por qualquer campo do ASFF e agrupando por outro. Uma equipe pode criar uma visão analítica para constatações de alta severidade agrupadas por conta, concentrando a atenção exatamente onde está o risco.

O agrupamento transforma ruído em prioridades. Em vez de percorrer milhares de constatações, uma visão analítica informa: "estes cinco recursos representam a maior parte do risco". Isso direciona a correção para as mudanças de maior impacto, apoiando a priorização valorizada pelo exame.

Uma ação personalizada no Security Hub é um gatilho nomeado que você associa a constatações. Quando um analista seleciona constatações e escolhe essa ação, o Security Hub emite um evento para o EventBridge. Essa é a ponte entre a triagem humana e a resposta automatizada.

Cada ação personalizada tem seu próprio ARN e produz um evento do EventBridge que transporta as constatações selecionadas. Em seguida, uma regra do EventBridge encaminha esse evento para um destino, como uma função do Lambda, um fluxo de trabalho do Step Functions ou uma integração de emissão de tíquetes, para corrigir o problema ou encaminhá-lo para escalonamento.

As ações personalizadas permitem uma resposta iniciada pelo analista: uma pessoa faz a análise e depois clica para corrigir o problema. Para uma resposta totalmente automática, você deve associar as constatações diretamente a regras do EventBridge, para que a ação ocorra sem intervenção humana. Conhecer os dois padrões ajuda você a escolher o mais adequado.

O Security Hub também oferece regras de automação que atualizam constatações automaticamente, por exemplo, aumentando a severidade ou alterando o status do fluxo de trabalho quando os critérios correspondem. Essas regras refinam o fluxo de constatações antes que ele chegue a um analista ou a uma automação posterior.

As regras de automação atuam quando uma constatação corresponde a critérios definidos nos campos do ASFF e então aplicam alterações, como definir a severidade, atualizar o status do fluxo de trabalho ou adicionar uma observação. Por exemplo, uma regra pode suprimir automaticamente constatações de baixa severidade de uma conta de testes conhecida. Isso refina o fluxo de forma consistente, antes que analistas ou automações posteriores o vejam.

Para escolher entre os padrões, pergunte se uma pessoa deve fazer a análise primeiro. Ações personalizadas são adequadas para respostas que exigem julgamento e são iniciadas por um analista; regras diretas do EventBridge são adequadas para constatações claras e volumosas que devem ser corrigidas imediatamente, sem espera. Muitas equipes combinam os dois: corrigem automaticamente o que é evidente e encaminham o que é ambíguo aos analistas por meio de ações personalizadas.

Associe constatações à resposta.

As visões analíticas do Security Hub agrupam constatações por um filtro e um atributo (gerenciados ou personalizados) para revelar onde o risco se concentra. As ações personalizadas permitem que um analista envie constatações selecionadas ao EventBridge para resposta, enquanto as regras diretas do EventBridge permitem correção totalmente automática e as regras de automação atualizam constatações automaticamente. Juntos, esses recursos transformam constatações agregadas em fluxos de trabalho.