Matcha findings med eventmönster

Ni vill inte reagera på varje händelse – bara på de händelser som spelar roll. Ett händelsemönster är filtret som avgör vilka händelser en regel agerar på.

Ett precist mönster innebär att automatiseringen utlöses exakt när ett verkligt hot uppstår och förblir tyst annars, vilket förhindrar både missade aviseringar och störande falska utlösningar.

Ett händelsemönster är JSON som speglar strukturen hos de händelser det matchar. Ni anger de fält och värden Ni bryr Er om; en händelse matchar bara om varje angivet fält överensstämmer.

Fält som utelämnas ignoreras, så ett mönster kan vara så brett eller snävt som Ni behöver.

Det vanligaste filtret är source – till exempel "aws.guardduty" eller "aws.macie".

Tillsammans med detail-type begränsar detta händelserna till en specifik typ från en specifik tjänst. Det är den naturliga utgångspunkten för alla säkerhetsregler innan Ni förfinar dem ytterligare.

Ofta vill Ni bara agera på allvarliga fynd. Genom att matcha kapslade fält i detail kan ett mönster kräva exempelvis att GuardDuty-händelsens allvarlighetsgrad ligger på eller över ett tröskelvärde.

EventBridge stöder numerisk matchning, till exempel större än, så att en regel bara utlöses för fynd med hög allvarlighetsgrad och ignorerar brus med låg risk.

Mönster stöder mer avancerade operatorer: matchning med prefix, kontroller med exists, anything-but och CIDR-matchning av IP-adresser.

Med dessa kan Ni uttrycka precisa villkor – matcha alla fyndtyper som börjar med "UnauthorizedAccess" eller alla händelser där regionfältet finns men inte anger Er hemregion.

GuardDuty genererar dussintals fyndtyper, till exempel Recon, CryptoCurrency eller InstanceCredentialExfiltration.

Genom att matcha fältet detail.type kan Ni dirigera olika hot till olika åtgärder – stöld av autentiseringsuppgifter till en Lambda och kryptomining till en annan – så att varje hot får den respons det kräver.

Ett mönster som aldrig matchar är ett tyst fel. Använd EventBridge-konsolens sandbox för att klistra in en exempel händelse och bekräfta att mönstret matchar den.

Genom att testa med verkliga händelseexempel före driftsättning undviker Ni det pinsamma och farliga scenariot där automatiseringen helt enkelt aldrig utlöses.

Ett alltför brett mönster utlöser åtgärder för ofarliga händelser och orsakar störningar – tänk Er att instanser isoleras för varje informationsfynd med låg allvarlighetsgrad.

Begränsa mönstren till verkliga hot. Konsten är att matcha tillräckligt för att fånga riktiga incidenter, samtidigt som det rutinmässiga bruset som inte bör utlösa automatiska åtgärder utesluts.

Samma mönstersyntax fungerar för alla händelsekällor: ändringar i Config-reglers efterlevnad, Security Hub-fynd, Macie-upptäckter eller specifika CloudTrail API-anrop.

När Ni har lärt Er händelsemönster en gång kan Ni bygga säkerhetsautomatisering i hela Er AWS-miljö med ett enda konsekvent matchningsspråk.

I stället för ett enda stort mönster som försöker fånga allt bör Ni bygga flera fokuserade regler, var och en med sitt eget mönster och mål.

En regel isolerar instanser vid fynd som rör autentiseringsuppgifter, en annan skickar endast aviseringar om spaningsfynd med låg allvarlighetsgrad och en tredje reagerar på Macie-upptäckter. Mindre regler med ett enda syfte är enklare att testa, förstå och justera än en enda omfattande regel som försöker fånga allt.

En matchad händelse är bara användbar när den kopplas till ett mål. Mönstret avgör om Ni ska agera; målet avgör vad som ska göras.

Tillsammans bildar de en regel: den här typen av fynd, med den här allvarlighetsgraden, utlöser just denna åtgärd. Den kopplingen är kärnan i varje automatiserad respons.

Ett händelsemönster är JSON-filtret som avgör vilka händelser en regel agerar på och matchar fält som source, detail-type och kapslade värden i detail. Använd numerisk matchning för tröskelvärden för allvarlighetsgrad och avancerade operatorer (prefix, exists, anything-but, CIDR) för precisa begränsningar. Matcha specifika GuardDuty-fyndtyper för att dirigera olika åtgärder, testa mönster i sandboxen och undvik övermatchning, så att automatiseringen endast utlöses av verkliga hot.