İçgörüler ve Özel Bulgu İşlemleri

Normalleştirilmiş bulguların uzun bir listesi, üzerinde işlem yapmak için hâlâ zordur. Security Hub bu listeyi odaklanmış eylemlere dönüştürmek için iki araç sunar: ilişkili bulguları gruplandıran içgörüler ve seçilen bulgulardan iş akışlarını tetiklemenizi sağlayan özel eylemler.

Security Hub içgörüsü, bir filtre ve bir "group by" özniteliğiyle toplanan bulguların kaydedilmiş bir grubudur. Örneğin bir içgörü, en fazla soruna sahip kaynakları ortaya çıkarmak için etkin bulguları kaynağa göre gruplayabilir. İçgörüler, tek tek bulguların gizlediği örüntüleri görünür kılar.

Security Hub, kullanıma hazır yönetilen içgörülerle birlikte gelir. Bunlara "en fazla bulguya sahip AWS kaynakları" veya "herkese açık erişime sahip S3 klasörleri" örnek verilebilir. Önceden oluşturulmuş bu gruplar, herhangi bir tanımlama yapmadan hemen değer sunar ve sorun yoğunlaşan noktaları öne çıkarır.

Endişelerinize göre uyarlanmış özel içgörüler de oluşturabilirsiniz. Bunun için herhangi bir ASFF alanına göre filtreleyip başka bir alana göre gruplama yapabilirsiniz. Bir ekip, dikkatini riskin yoğunlaştığı yere tam olarak yöneltmek için önem derecesi High olan bulguları hesaba göre gruplayan bir içgörü oluşturabilir.

Gruplandırma, gürültüyü önceliklere dönüştürür. Binlerce bulgu arasında gezinmek yerine bir içgörü size "bu beş kaynak riskin çoğundan sorumlu" der. Bu yaklaşım, düzeltme çalışmalarını etkisi en yüksek çözümlere yönlendirir ve sınavın önem verdiği önceliklendirmeyi destekler.

Security Hub'daki özel eylem, bulgulara eklediğiniz adlandırılmış bir tetikleyicidir. Bir analist bulguları seçip bu eylemi seçtiğinde Security Hub, EventBridge'e bir olay gönderir. Bu, insan tarafından yapılan önceliklendirme ile otomatik yanıt arasındaki köprüdür.

Her özel eylemin kendine ait bir ARN'si vardır ve seçilen bulguları taşıyan bir EventBridge olayı üretir. Ardından bir EventBridge kuralı bu olayı düzeltme veya önem derecesini yükseltme amacıyla Lambda işlevi, Step Functions iş akışı ya da bilet sistemi entegrasyonu gibi bir hedefe yönlendirir.

Özel eylemler, analist tarafından başlatılan yanıtı mümkün kılar: bir insan inceleme yapar ve ardından düzeltme işlemini başlatmak için tıklar. Tamamen otomatik yanıt için bulguları doğrudan EventBridge kurallarıyla eşleştirerek işlemin bir kişi olmadan gerçekleşmesini sağlarsınız. Her iki kalıbı bilmek, doğru olanı seçmenize yardımcı olur.

Security Hub ayrıca, ölçütler eşleştiğinde önem derecesini yükseltmek veya iş akışı durumunu değiştirmek gibi işlemlerle bulguları otomatik olarak güncelleyen otomasyon kuralları sunar. Bu kurallar, bulgu akışını analiste veya sonraki otomasyona ulaşmadan önce düzenler.

Otomasyon kuralları, bir bulgu ASFF alanlarında tanımlanan ölçütlerle eşleştiğinde çalışır ve ardından önem derecesini ayarlama, iş akışı durumunu güncelleme veya not ekleme gibi değişiklikleri uygular. Örneğin bir kural, bilinen bir deneme hesabından gelen düşük önem dereceli bulguları otomatik olarak bastırabilir. Böylece akış, analistler veya sonraki otomasyon onu görmeden önce tutarlı biçimde düzenlenir.

Kalıplar arasında seçim yapmak için önce bir insanın inceleme yapıp yapmayacağını düşününüz. Özel eylemler, analistin başlattığı ve yoğun değerlendirme gerektiren yanıtlar için uygundur; doğrudan EventBridge kuralları ise beklemeden anında düzeltilmesi gereken, net ve yüksek hacimli bulgular için uygundur. Birçok ekip ikisini birleştirir: açıkça anlaşılır durumları otomatik olarak düzeltir, belirsiz olanları ise özel eylemler aracılığıyla analistlere yönlendirir.

Bulguları yanıtla ilişkilendiriniz.

Security Hub içgörüleri, riskin nerede yoğunlaştığını göstermek için bulguları bir filtreye ve özniteliğe göre (yönetilen veya özel) gruplandırır. Özel eylemler, analistin seçilen bulguları yanıt verilmek üzere EventBridge'e göndermesini sağlar; doğrudan EventBridge kuralları ise tamamen otomatik düzeltmeyi, otomasyon kuralları da bulguların otomatik olarak güncellenmesini mümkün kılar. Birlikte, toplu bulguları iş akışlarına dönüştürürler.