การจับคู่การค้นพบด้วยรูปแบบเหตุการณ์

คุณไม่ต้องการตอบสนองต่อทุกเหตุการณ์ แต่ต้องการเฉพาะเหตุการณ์ที่สำคัญ รูปแบบเหตุการณ์คือตัวกรองที่กำหนดว่าเหตุการณ์ใดที่กฎจะดำเนินการ

รูปแบบที่แม่นยำทำให้ระบบอัตโนมัติทำงานตรงเวลาที่ภัยคุกคามจริงปรากฏ และไม่ทำงานในกรณีอื่น ช่วยหลีกเลี่ยงทั้งการพลาดการแจ้งเตือนและการทำงานผิดพลาดที่มีเสียงรบกวนมากเกินไป

รูปแบบเหตุการณ์คือ JSON ที่จำลองโครงสร้างของเหตุการณ์ที่ต้องการจับคู่ คุณระบุฟิลด์และค่าที่สนใจ เหตุการณ์จะตรงกันก็ต่อเมื่อทุกฟิลด์ที่ระบุตรงกัน

ฟิลด์ที่คุณไม่ระบุจะถูกละเว้น ดังนั้นรูปแบบจึงกว้างหรือเจาะจงได้ตามความต้องการ

ตัวกรองที่ใช้บ่อยที่สุดคือ แหล่งที่มา เช่น "aws.guardduty" หรือ "aws.macie"

เมื่อใช้ร่วมกับ detail.type จะจำกัดเหตุการณ์ให้เหลือชนิดใดชนิดหนึ่งจากบริการใดบริการหนึ่ง นี่คือจุดเริ่มต้นตามธรรมชาติของกฎด้านความปลอดภัย ก่อนที่คุณจะปรับให้ละเอียดขึ้น

บ่อยครั้งคุณต้องการดำเนินการเฉพาะกับ Finding ที่ร้ายแรงเท่านั้น ด้วยการจับคู่ฟิลด์ซ้อนกันใน detail รูปแบบสามารถกำหนดให้ระดับความรุนแรงของ GuardDuty ต้องอยู่ที่ค่าขั้นต่ำที่กำหนดได้

EventBridge รองรับ การจับคู่เชิงตัวเลข เช่น มากกว่า ดังนั้นกฎจึงทำงานเฉพาะกับ Finding ที่มีความรุนแรงสูงและละเว้นเสียงรบกวนที่มีความเสี่ยงต่ำได้

รูปแบบรองรับตัวดำเนินการที่หลากหลายขึ้น ได้แก่ การจับคู่ด้วย คำนำหน้า การตรวจสอบ การมีอยู่ เงื่อนไข ไม่รวมสิ่งใด ๆ และการจับคู่ที่อยู่ IP แบบ CIDR

สิ่งเหล่านี้ช่วยให้คุณระบุเงื่อนไขได้อย่างแม่นยำ เช่น จับคู่ Finding ทุกชนิดที่ขึ้นต้นด้วย "UnauthorizedAccess" หรือเหตุการณ์ใด ๆ ที่มีฟิลด์ภูมิภาคอยู่ แต่ไม่ใช่ภูมิภาคหลักของคุณ

GuardDuty สร้างชนิด Finding ได้หลายสิบชนิด เช่น Recon, CryptoCurrency หรือ InstanceCredentialExfiltration

ด้วยการจับคู่ฟิลด์ detail.type คุณสามารถส่งต่อภัยคุกคามแต่ละประเภทไปยังการแก้ไขปัญหาที่แตกต่างกันได้ เช่น ส่งการขโมยข้อมูลประจำตัวไปยัง Lambda หนึ่ง และการขุดสกุลเงินดิจิทัลไปยังอีก Lambda หนึ่ง เพื่อให้แต่ละกรณีได้รับการตอบสนองที่เหมาะสม

รูปแบบที่ไม่ตรงกับเหตุการณ์ใดเลยคือความล้มเหลวที่ไม่แสดงสัญญาณ ใช้ พื้นที่ทดลองของคอนโซล EventBridge เพื่อวางเหตุการณ์ตัวอย่างและยืนยันว่ารูปแบบตรงกัน

การทดสอบด้วยตัวอย่างเหตุการณ์จริงก่อนนำไปใช้ช่วยป้องกันกรณีที่น่าอับอายและอันตราย ซึ่งระบบอัตโนมัติไม่ทำงานเลย

รูปแบบที่กว้างเกินไปจะเรียกการแก้ไขปัญหาจากเหตุการณ์ที่ไม่เป็นอันตราย ทำให้เกิดการหยุดชะงัก เช่น การแยกอินสแตนซ์ทุกครั้งที่มี Finding ข้อมูลระดับความรุนแรงต่ำ

กำหนดขอบเขตของรูปแบบให้ครอบคลุมภัยคุกคามจริง ศิลปะของเรื่องนี้คือการจับคู่ให้มากพอที่จะตรวจพบเหตุการณ์จริง พร้อมตัดเสียงรบกวนตามปกติที่ไม่ควรเรียกการดำเนินการอัตโนมัติออก

ไวยากรณ์รูปแบบเดียวกันใช้ได้กับแหล่งเหตุการณ์ทุกประเภท เช่น การเปลี่ยนแปลงการปฏิบัติตามข้อกำหนดของกฎ Config, Finding จาก Security Hub, รายการที่ Macie ค้นพบ หรือการเรียก API ของ CloudTrail ที่เฉพาะเจาะจง

เมื่อเรียนรู้รูปแบบเหตุการณ์ครั้งเดียว คุณจะสร้างระบบอัตโนมัติด้านความปลอดภัยได้ทั่วทั้งสภาพแวดล้อม AWS โดยใช้ภาษาการจับคู่ที่สม่ำเสมอเพียงรูปแบบเดียว

แทนที่จะสร้างรูปแบบขนาดใหญ่เพียงรูปแบบเดียวเพื่อพยายามจับคู่ทุกอย่าง ให้สร้างกฎที่มุ่งเน้นหลายกฎ โดยแต่ละกฎมีรูปแบบและเป้าหมายของตนเอง

กฎหนึ่งแยกอินสแตนซ์เมื่อพบ Finding เกี่ยวกับข้อมูลประจำตัว อีกกฎแจ้งเตือนเฉพาะการสำรวจระบบที่มีความรุนแรงต่ำ และอีกกฎตอบสนองต่อสิ่งที่ Macie ค้นพบ กฎขนาดเล็กที่มีหน้าที่เดียวทดสอบ ทำความเข้าใจ และปรับเปลี่ยนได้ง่ายกว่ากฎเดียวที่ครอบคลุมทุกกรณี

เหตุการณ์ที่จับคู่ได้จะมีประโยชน์ก็ต่อเมื่อมีเป้าหมายควบคู่กัน รูปแบบตัดสินว่า จะดำเนินการหรือไม่ ส่วนเป้าหมายตัดสินว่า จะทำอะไร

เมื่อรวมกัน สิ่งเหล่านี้จะก่อเป็นกฎ: Finding ชนิดนี้ที่มีระดับความรุนแรงเท่านี้จะเรียกการแก้ไขปัญหาเฉพาะนี้ การจับคู่ดังกล่าวคือหัวใจของการตอบสนองอัตโนมัติทุกประเภท

เลือกตัวกรองที่แม่นยำ

รูปแบบเหตุการณ์คือตัวกรอง JSON ที่กำหนดว่าเหตุการณ์ใดที่กฎจะดำเนินการ โดยจับคู่ฟิลด์ต่าง ๆ เช่น แหล่งที่มา detail-type และค่า detail ที่ซ้อนกัน ใช้การจับคู่เชิงตัวเลขสำหรับค่าขั้นต่ำของความรุนแรง และใช้ตัวดำเนินการขั้นสูง (คำนำหน้า การมีอยู่ ไม่รวมสิ่งใด ๆ และ CIDR) เพื่อกำหนดขอบเขตอย่างแม่นยำ จับคู่ชนิด Finding ของ GuardDuty ที่เฉพาะเจาะจงเพื่อส่งต่อการแก้ไขปัญหาที่แตกต่างกัน ทดสอบรูปแบบในพื้นที่ทดลอง และหลีกเลี่ยงการจับคู่กว้างเกินไป เพื่อให้ระบบอัตโนมัติทำงานเฉพาะเมื่อพบภัยคุกคามจริง