Запуск Lambda для автоматического исправления

AWS Lambda выполняет Ваш код без необходимости управлять серверами, взимая плату только за время выполнения. В автоматизации безопасности это наиболее гибкий целевой объект для устранения проблем.

Когда EventBridge сопоставляет Finding, он вызывает функцию Lambda, которая устраняет проблему: изолирует экземпляр, отзывает ключ или закрывает корзину — за считаные секунды.

Схема всегда одна и та же: средство обнаружения выдаёт результат проверки, правило EventBridge сопоставляет его, а затем вызывает функцию Lambda, передавая событие в качестве входных данных.

Функция читает сведения о событии, определяет затронутый ресурс и вызывает API AWS для устранения проблемы. Обнаружение автоматически превращается в исправление без участия человека.

EventBridge передаёт функции полный JSON события. Код извлекает из объекта сведения всё необходимое — идентификатор экземпляра, имя корзины и проблемный ключ.

Надёжные функции проверяют эти входные данные, поскольку действия на основе некорректного или неожиданного события могут привести к исправлению не того ресурса.

К распространённым способам устранения проблем с помощью Lambda относятся:

• Замена группы безопасности на изолирующую для скомпрометированного экземпляра.
• Отключение утёкшего ключа доступа IAM.
• Включение блокировки публичного доступа для открытой корзины.
• Удаление чрезмерно разрешающего правила группы безопасности.

Каждое из этих действий функция автоматически выполняет с помощью нескольких вызовов API.

Функция Lambda выполняется с ролью выполнения. Предоставляйте ей только разрешения, необходимые для устранения конкретной проблемы, — и ничего больше.

Функция автоматического устранения проблем по замыслу обладает широкими возможностями, поэтому её роль представляет собой приоритетную цель для атак. Жёсткое ограничение области её действия уменьшает ущерб, если функцию или её входные данные события когда-либо используют во вредоносных целях.

Иногда EventBridge может доставить событие более одного раза, а результат проверки может появиться снова. Сделайте устранение проблемы идемпотентным — безопасным при многократном запуске.

Применение уже подключённой группы безопасности для изоляции должно просто завершаться успешно без побочных эффектов, чтобы повторные вызовы никогда не приводили к ущербу или ошибкам.

Автоматические действия могут нарушить работу системы, поэтому добавляйте проверки безопасности. Функция может проверять наличие у ресурса определённой метки, пропускать защищённые рабочие системы или требовать порог серьёзности, уже отфильтрованный этой схемой.

Некоторые команды ставят разрушительные действия за этапом утверждения, чтобы предотвратить неконтролируемую автоматизацию.

После каждого устранения проблемы должен оставаться след. Настройте функцию на запись в журналы CloudWatch и, при необходимости, отправку через SNS уведомления о выполненном действии и затронутом ресурсе.

Вместе с записью вызовов API в CloudTrail это даёт полную историю автоматических ответных действий для аудита и анализа после инцидента.

Устранение проблемы может завершиться сбоем — из-за отсутствия разрешения, ограничения частоты API или удаления ресурса. Настройте повторные попытки и очередь недоставленных сообщений, чтобы не потерять неудачные вызовы.

Функция также должна уведомлять человека, когда не может завершить работу, чтобы сбой автоматического устранения передавался специалисту, а угроза не оставалась незамеченной.

Чтобы EventBridge мог вызвать вашу функцию, правилу требуется разрешение на её вызов — его предоставляет политика на основе ресурса для Lambda, доверяющая службе EventBridge.

Собственная роль выполнения функции определяет, что она может делать после запуска, а это разрешение на вызов определяет, кто может её запустить. Для работы конвейера необходимы оба разрешения.

Проверяйте функции устранения проблем на примерах событий в непроизводственном аккаунте, прежде чем доверять им реальные инциденты.

Убедитесь, что они работают с правильным ресурсом, соблюдают защитные меры и корректно ведут журнал. Автоматизация, срабатывающая неправильно, может вызвать простой не менее серьёзный, чем злоумышленник, поэтому проверка обязательна.

Зачем нужна идемпотентность?

AWS Lambda — гибкий исполнитель, который устраняет проблемы автоматически, когда правило EventBridge сопоставляет результат проверки. Функция читает сведения о событии, определяет ресурс и вызывает API для его исправления — изолирует экземпляры, отключает ключи или закрывает доступ к корзинам. Предоставьте ей роль выполнения с минимально необходимыми правами, сделайте действия идемпотентными, добавьте защитные меры и журналирование, обрабатывайте сбои с помощью DLQ и уведомлений и тщательно протестируйте функцию, прежде чем доверить ей рабочую среду.