Сопоставление результатов с шаблонами событий

Вам не нужно реагировать на каждое событие — только на действительно важные. Шаблон события — это фильтр, определяющий, с какими событиями работает правило.

Точный шаблон гарантирует, что автоматизация сработает именно при появлении реальной угрозы и не будет срабатывать в остальных случаях, предотвращая как пропущенные предупреждения, так и поток ложных срабатываний.

Шаблон события представляет собой JSON, отражающий структуру событий, с которыми он сопоставляется. Вы указываете интересующие Вас поля и значения; событие соответствует шаблону только в том случае, если совпадают все указанные поля.

Пропущенные поля игнорируются, поэтому шаблон можно сделать настолько общим или конкретным, насколько необходимо.

Наиболее распространённый фильтр — источник, например «aws.guardduty» или «aws.macie».

В сочетании с detail.type он ограничивает события конкретным видом от конкретного сервиса. Это естественная отправная точка для любого правила безопасности, после которой фильтр можно уточнять.

Часто требуется реагировать только на серьёзные Finding. Сопоставляя вложенные поля в detail, шаблон может требовать, например, чтобы степень серьёзности GuardDuty была не ниже заданного порога.

EventBridge поддерживает числовое сопоставление, например проверку условия «больше», поэтому правило может срабатывать только для Finding высокой степени серьёзности и игнорировать малозначимый шум.

Шаблоны поддерживают более сложные операторы: сопоставление по префиксу, проверки существования, оператор anything-but и сопоставление IP-адресов по CIDR.

Они позволяют задавать точные условия: сопоставлять любой тип Finding, начинающийся с «UnauthorizedAccess», или любое событие, в котором поле региона существует, но не соответствует Вашему домашнему региону.

GuardDuty создаёт десятки типов Finding, например Recon, CryptoCurrency или InstanceCredentialExfiltration.

Сопоставляя поле detail.type, Вы можете направлять разные угрозы к разным средствам устранения: кражу учётных данных — в одну функцию Lambda, а майнинг криптовалюты — в другую, чтобы каждая угроза получала соответствующую реакцию.

Шаблон, который никогда не сопоставляется, означает незаметный сбой. Используйте песочницу консоли EventBridge, чтобы вставить пример события и убедиться, что шаблон ему соответствует.

Проверка на реальных примерах событий до развёртывания предотвращает неприятную и опасную ситуацию, когда автоматизация просто никогда не срабатывает.

Слишком общий шаблон запускает устранение проблем для безобидных событий и вызывает сбои в работе — представьте, что экземпляры изолируются при каждом информационном Finding низкой степени серьёзности.

Ограничивайте шаблоны настоящими угрозами. Искусство заключается в том, чтобы охватить реальные инциденты и одновременно исключить обычный шум, который не должен запускать автоматические действия.

Один и тот же синтаксис шаблонов работает с любым источником событий: изменениями соответствия правилам Config, Finding Security Hub, обнаружениями Macie или конкретными вызовами API CloudTrail.

Однократное изучение шаблонов событий позволяет создавать автоматизацию безопасности для всей Вашей инфраструктуры AWS, используя единый язык сопоставления.

Вместо одного огромного шаблона, пытающегося охватить всё, создайте несколько специализированных правил, у каждого из которых будут собственные шаблон и целевой объект.

Одно правило изолирует экземпляры при обнаружении проблем с учётными данными, другое отправляет предупреждения только о разведывательных Finding низкой степени серьёзности, а третье реагирует на обнаружения Macie. Небольшие правила с одной задачей проще проверять, анализировать и изменять, чем одно огромное универсальное правило.

Сопоставленное событие полезно только вместе с целевым объектом. Шаблон определяет, нужно ли действовать, а целевой объект — что именно нужно сделать.

Вместе они образуют правило: Finding определённого типа и степени серьёзности запускает конкретное средство устранения. Такое сочетание лежит в основе каждого автоматизированного ответа.

Выберите точный фильтр.

Шаблон события — это фильтр JSON, определяющий, с какими событиями работает правило; он сопоставляет такие поля, как источник, detail.type и вложенные значения detail. Используйте числовое сопоставление для порогов степени серьёзности и расширенные операторы (префикс, существование, anything-but, CIDR), чтобы точно ограничивать область действия. Сопоставляйте конкретные типы Finding GuardDuty для направления к разным средствам устранения, проверяйте шаблоны в песочнице и избегайте слишком широкого сопоставления, чтобы автоматизация срабатывала только при реальных угрозах.