ข้อมูลเชิงลึกและการดำเนินการแบบกำหนดเองต่อการค้นพบ

แม้จะทำให้การค้นพบเป็นมาตรฐานแล้ว รายการยาวเหยียดก็ยังจัดการได้ยาก Security Hub จึงมีเครื่องมือสองอย่างที่ช่วยเปลี่ยนรายการดังกล่าวให้เป็นการดำเนินการที่มุ่งเป้า ได้แก่ ข้อมูลเชิงลึกที่จัดกลุ่มการค้นพบที่เกี่ยวข้องกัน และ การดำเนินการแบบกำหนดเองที่ช่วยให้คุณทริกเกอร์เวิร์กโฟลว์จากการค้นพบที่เลือกไว้

ข้อมูลเชิงลึกของ Security Hub คือการจัดกลุ่มการค้นพบที่บันทึกไว้ โดยใช้ตัวกรองและแอตทริบิวต์ "จัดกลุ่มตาม" ตัวอย่างเช่น ข้อมูลเชิงลึกอาจจัดกลุ่มการค้นพบที่ยังใช้งานอยู่ตามทรัพยากร เพื่อแสดงว่าทรัพยากรใดมีปัญหามากที่สุด ข้อมูลเชิงลึกช่วยเปิดเผยรูปแบบที่การค้นพบแต่ละรายการอาจซ่อนไว้

Security Hub มี ข้อมูลเชิงลึกที่มีการจัดการให้ใช้ตั้งแต่เริ่มต้น เช่น "ทรัพยากร AWS ที่มีการค้นพบมากที่สุด" หรือ "บัคเก็ต S3 ที่เปิดให้เข้าถึงแบบสาธารณะ" การจัดกลุ่มที่สร้างไว้ล่วงหน้าเหล่านี้ให้ประโยชน์ได้ทันที โดยเน้นจุดเสี่ยงสำคัญโดยไม่ต้องให้คุณกำหนดค่าใด ๆ

คุณยังสร้าง ข้อมูลเชิงลึกแบบกำหนดเองให้เหมาะกับข้อกังวลของคุณได้ โดยกรองตามฟิลด์ ASFF ใดก็ได้และจัดกลุ่มตามฟิลด์อื่น ทีมหนึ่งอาจสร้างข้อมูลเชิงลึกสำหรับการค้นพบที่มีระดับความรุนแรงสูง โดยจัดกลุ่มตามบัญชี เพื่อมุ่งความสนใจไปยังจุดที่มีความเสี่ยงอย่างแท้จริง

การจัดกลุ่มเปลี่ยนข้อมูลรบกวนให้เป็นลำดับความสำคัญ แทนที่จะเลื่อนดูการค้นพบหลายพันรายการ ข้อมูลเชิงลึกจะบอกคุณว่า "ทรัพยากรห้ารายการนี้คิดเป็นความเสี่ยงส่วนใหญ่" วิธีนี้ช่วยให้การแก้ไขมุ่งไปยังการแก้ปัญหาที่มีผลกระทบสูงสุด และสนับสนุนการจัดลำดับความสำคัญที่ข้อสอบให้ความสำคัญ

การดำเนินการแบบกำหนดเองใน Security Hub คือทริกเกอร์ที่มีชื่อ ซึ่งคุณแนบไว้กับการค้นพบ เมื่อนักวิเคราะห์เลือกการค้นพบแล้วเลือกการดำเนินการนั้น Security Hub จะส่งเหตุการณ์ไปยัง EventBridge นี่คือสะพานเชื่อมจากการคัดแยกโดยมนุษย์ไปสู่การตอบสนองอัตโนมัติ

การดำเนินการแบบกำหนดเองแต่ละรายการมี ARN ของตนเอง และสร้างเหตุการณ์ EventBridge ที่บรรจุการค้นพบที่เลือกไว้ จากนั้นกฎ EventBridge จะส่งเหตุการณ์ไปยังเป้าหมาย เช่น ฟังก์ชัน Lambda เวิร์กโฟลว์ Step Functions หรือการเชื่อมต่อกับระบบจัดการตั๋ว เพื่อแก้ไขปัญหาหรือยกระดับการดำเนินการ

การดำเนินการแบบกำหนดเองเปิดใช้การตอบสนองที่ นักวิเคราะห์เป็นผู้เริ่มต้น โดยมนุษย์จะตรวจสอบแล้วคลิกเพื่อแก้ไขปัญหา หากต้องการการตอบสนองอัตโนมัติเต็มรูปแบบ คุณควรจับคู่การค้นพบโดยตรงกับกฎ EventBridge เพื่อให้ดำเนินการได้โดยไม่ต้องมีบุคคล การเข้าใจทั้งสองรูปแบบช่วยให้คุณเลือกรูปแบบที่เหมาะสมได้

Security Hub ยังมี กฎระบบอัตโนมัติที่อัปเดตการค้นพบโดยอัตโนมัติ เช่น เพิ่มระดับความรุนแรงหรือเปลี่ยนสถานะเวิร์กโฟลว์เมื่อเข้าเงื่อนไข กฎเหล่านี้ช่วยปรับแต่งกระแสการค้นพบก่อนที่จะไปถึงนักวิเคราะห์หรือระบบอัตโนมัติปลายทาง

กฎระบบอัตโนมัติจะทำงานเมื่อการค้นพบตรงกับ เกณฑ์ที่กำหนดในฟิลด์ ASFF จากนั้นจึงใช้การเปลี่ยนแปลง เช่น ตั้งค่าระดับความรุนแรง อัปเดตสถานะเวิร์กโฟลว์ หรือเพิ่มบันทึก ตัวอย่างเช่น กฎอาจระงับการค้นพบที่มีระดับความรุนแรงต่ำจากบัญชีทดสอบที่ทราบแน่ชัดโดยอัตโนมัติ วิธีนี้ช่วยปรับแต่งกระแสข้อมูลอย่างสม่ำเสมอ ก่อนที่นักวิเคราะห์หรือระบบอัตโนมัติปลายทางจะเห็นข้อมูลดังกล่าว

เมื่อต้องเลือกรูปแบบ ให้ถามว่าควรให้มนุษย์ตรวจสอบก่อนหรือไม่ การดำเนินการแบบกำหนดเองเหมาะกับการตอบสนองที่ต้องใช้วิจารณญาณและเริ่มต้นโดยนักวิเคราะห์ ส่วน กฎ EventBridge โดยตรงเหมาะกับการค้นพบจำนวนมากที่ชัดเจนและควรแก้ไขทันทีโดยไม่ต้องรอ หลายทีมใช้ทั้งสองแบบร่วมกัน โดยแก้ไขสิ่งที่ชัดเจนโดยอัตโนมัติ และส่งสิ่งที่คลุมเครือให้นักวิเคราะห์ผ่านการดำเนินการแบบกำหนดเอง

เชื่อมโยงการค้นพบเข้ากับการตอบสนอง

ข้อมูลเชิงลึกของ Security Hub จัดกลุ่มการค้นพบตามตัวกรองและแอตทริบิวต์ (ที่มีการจัดการหรือแบบกำหนดเอง) เพื่อแสดงว่าความเสี่ยงกระจุกตัวอยู่ที่ใด การดำเนินการแบบกำหนดเองช่วยให้นักวิเคราะห์ส่งการค้นพบที่เลือกไว้ไปยัง EventBridge เพื่อดำเนินการ ขณะที่กฎ EventBridge โดยตรงช่วยให้แก้ไขปัญหาโดยอัตโนมัติเต็มรูปแบบ และ กฎระบบอัตโนมัติจะอัปเดตการค้นพบโดยอัตโนมัติ ทั้งหมดนี้ช่วยเปลี่ยนการค้นพบที่รวบรวมไว้ให้เป็นเวิร์กโฟลว์