Аналитические сведения и пользовательские действия для результатов

Даже длинный список нормализованных обнаружений трудно использовать для принятия решений. Security Hub предоставляет два инструмента, которые превращают этот список в целенаправленные действия: аналитические представления, группирующие связанные обнаружения, и пользовательские действия, позволяющие запускать рабочие процессы для выбранных обнаружений.

Аналитическое представление Security Hub — это сохранённая группа обнаружений, сформированная с помощью фильтра и атрибута «группировать по». Например, представление может сгруппировать активные обнаружения по ресурсам и показать, у каких ресурсов больше всего проблем. Аналитические представления выявляют закономерности, которые не видны при просмотре отдельных обнаружений.

Security Hub изначально включает управляемые аналитические представления, например «Ресурсы AWS с наибольшим количеством обнаружений» или «Бакеты S3 с общедоступным доступом». Эти готовые группировки сразу приносят пользу и выявляют проблемные области без дополнительной настройки.

Вы также можете создавать пользовательские аналитические представления с учётом конкретных задач, фильтруя по любому полю ASFF и группируя по другому полю. Например, команда может создать представление обнаружений с уровнем серьёзности High, сгруппированных по учётным записям, чтобы сосредоточить внимание именно там, где сосредоточен риск.

Группировка превращает поток данных в список приоритетов. Вместо просмотра тысяч обнаружений аналитическое представление сообщает: «На эти пять ресурсов приходится большая часть риска». Это направляет устранение проблем на исправления с наибольшим эффектом и поддерживает приоритизацию, которой придаётся значение на экзамене.

Пользовательское действие в Security Hub — это именованный триггер, который Вы прикрепляете к обнаружениям. Когда аналитик выбирает обнаружения и это действие, Security Hub отправляет событие в EventBridge. Так ручная сортировка и обработка соединяется с автоматическим реагированием.

У каждого пользовательского действия есть собственный ARN, и оно создаёт событие EventBridge с выбранными обнаружениями. Затем правило EventBridge направляет это событие целевому объекту, например функции Lambda, рабочему процессу Step Functions или интеграции с системой заявок, чтобы устранить проблему или передать её на более высокий уровень.

Пользовательские действия обеспечивают реагирование, инициированное аналитиком: человек проверяет обнаружение, а затем нажимает кнопку для устранения проблемы. Для полностью автоматического реагирования следует напрямую сопоставлять обнаружения с правилами EventBridge, чтобы действие выполнялось без участия человека. Знание обоих вариантов помогает выбрать подходящий.

Security Hub также предоставляет правила автоматизации, которые автоматически обновляют обнаружения — например, повышают уровень серьёзности или изменяют статус рабочего процесса при выполнении условий. Эти правила уточняют поток обнаружений ещё до того, как он попадёт к аналитику или в последующую автоматизацию.

Правила автоматизации срабатывают, когда обнаружение соответствует заданным условиям для полей ASFF, а затем применяют такие изменения, как установка уровня серьёзности, обновление статуса рабочего процесса или добавление примечания. Например, правило может автоматически подавлять обнаружения с низким уровнем серьёзности из известной тестовой учётной записи. Это единообразно уточняет поток ещё до того, как его увидят аналитики или последующая автоматизация.

Чтобы выбрать подходящий вариант, спросите себя, должен ли сначала провести проверку человек. Пользовательские действия подходят для ответных мер, требующих оценки аналитика; прямые правила EventBridge — для однозначных и многочисленных обнаружений, которые следует устранять немедленно, не дожидаясь проверки. Многие команды сочетают оба варианта: очевидные случаи устраняются автоматически, а неоднозначные передаются аналитикам через пользовательские действия.

Свяжите обнаружения с реагированием.

Аналитические представления Security Hub группируют обнаружения по фильтру и атрибуту (управляемому или пользовательскому), чтобы показать, где сосредоточен риск. Пользовательские действия позволяют аналитику отправить выбранные обнаружения в EventBridge для реагирования, а прямые правила EventBridge обеспечивают полностью автоматическое устранение проблем; правила автоматизации автоматически обновляют обнаружения. Вместе эти возможности превращают совокупность обнаружений в рабочие процессы.