Otomatik Düzeltme için Lambda'yı Tetikleme

AWS Lambda, sunucuları yönetmeden ve yalnızca çalıştırma süresi kadar ücret ödeyerek kodunuzu çalıştırır. Güvenlik otomasyonunda en esnek düzeltme hedefidir.

EventBridge bir bulguyu eşleştirdiğinde, düzeltmeyi gerçekleştiren bir Lambda işlevini çağırır; örneği yalıtmak, bir anahtarı iptal etmek veya bir kovayı kapatmak gibi işlemler saniyeler içinde gerçekleştirilir.

Örüntü tutarlıdır: bir algılayıcı bir bulgu üretir, bir EventBridge kuralı bu bulguyla eşleşir ve kural, olayı girdi olarak geçirerek bir Lambda işlevini çağırır.

İşlev olay ayrıntılarını okur, etkilenen kaynağı belirler ve düzeltme yapmak için AWS API'lerini çağırır. İnsan müdahalesi olmadan algılama, düzeltmeye dönüşür.

EventBridge, olayın tamamını JSON biçiminde işleve iletir. Kod, ihtiyaç duyduğu değerleri — bulut sunucusu kimliğini, paket adını, soruna neden olan anahtarı — detail nesnesinden çıkarır.

Sağlam işlevler bu girdiyi doğrular; çünkü hatalı veya beklenmeyen bir olay üzerinde işlem yapmak yanlış kaynağı düzeltebilir.

Yaygın Lambda düzeltmeleri şunları içerir:

• Güvenliği ihlal edilmiş bir bulut sunucusuna karantina güvenlik grubunu uygulamak.
• Sızdırılmış bir IAM erişim anahtarını devre dışı bırakmak.
• Açığa çıkmış bir pakette genel erişimi engellemeyi etkinleştirmek.
• Aşırı izin veren bir güvenlik grubu kuralını kaldırmak.

Bunların her biri, işlevin otomatik olarak yaptığı birkaç API çağrısından oluşur.

Bir Lambda işlevi bir execution role ile çalışır. İşleve yalnızca gerçekleştireceği düzeltme için gereken izinleri verin — daha fazlasını vermeyin.

Otomatik düzeltme işlevi tasarımı gereği güçlüdür; bu nedenle rolü başlıca hedeflerden biridir. Kapsamını sıkı biçimde sınırlamak, işlevin veya olay girdisinin kötüye kullanılması durumunda oluşabilecek zararı azaltır.

EventBridge zaman zaman bir olayı birden fazla kez iletebilir ve bir bulgu yeniden ortaya çıkabilir. Düzeltmeyi idempotent olacak şekilde tasarlayın — tekrar tekrar güvenle çalıştırılabilsin.

Zaten eklenmiş olan bir karantina güvenlik grubunu uygulama işlemi, yan etki oluşturmadan başarıyla tamamlanmalıdır; böylece yinelenen çağrılar hiçbir zaman zarara veya hatalara yol açmaz.

Otomatik işlemler kesintiye yol açabilir; bu nedenle güvenlik kontrolleri ekleyin. İşlev, kaynağın belirli bir etikete sahip olduğunu doğrulayabilir, korunan üretim sistemlerini atlayabilir veya örüntü tarafından önceden filtrelenmiş bir önem eşiği gerektirebilir.

Bazı ekipler, kontrolden çıkan otomasyonu önlemek için yıkıcı işlemleri bir onay adımının arkasına alır.

Her düzeltme geride bir iz bırakmalıdır. İşlevin CloudWatch Logs'a yazmasını ve isteğe bağlı olarak ne yaptığını ve hangi kaynak üzerinde yaptığını SNS aracılığıyla bildirmesini sağlayın.

CloudTrail'ın API çağrılarını kaydetmesiyle birlikte bu, denetim ve olay sonrası inceleme için otomatik yanıtların eksiksiz bir kaydını sağlar.

Düzeltme başarısız olabilir — eksik bir izin, hız sınırına takılmış bir API veya silinmiş bir kaynak nedeniyle. Başarısız çağrıların kaybolmaması için yeniden denemeleri ve bir dead-letter queue yapılandırın.

İşlev tamamlayamadığında bir insanı da uyarmalıdır; böylece başarısız bir otomatik düzeltme, tehdidi sessizce yanıtsız bırakmak yerine üst seviyeye aktarılır.

EventBridge'in işlevinizi çağırabilmesi için kuralın bunu yapma iznine sahip olması gerekir; bu izin, EventBridge hizmetine güvenen Lambda üzerindeki bir resource-based policy tarafından verilir.

İşlevin kendi yürütme rolü, çalışmaya başladıktan sonra neler yapabileceğini belirlerken bu çağırma izni, işlevi kimlerin tetikleyebileceğini belirler. Akışın çalışması için her ikisi de mevcut olmalıdır.

Düzeltme işlevlerini gerçek olaylarda kullanmadan önce üretim dışı bir hesapta örnek olaylara karşı test edin.

Doğru kaynak üzerinde işlem yaptıklarını, güvenlik önlemlerine uyduklarını ve doğru şekilde günlük tuttuklarını doğrulayın. Yanlış tetiklenen otomasyon, bir saldırgan kadar kesin biçimde kesintiye yol açabilir; bu nedenle doğrulama zorunludur.

İdempotentlik neden önemlidir?

AWS Lambda, bir EventBridge kuralı bir bulguyla eşleştiğinde otomatik düzeltmeyi gerçekleştiren esnek hedeftir. İşlev olayın detail bölümünü okur, kaynağı belirler ve düzeltmek için API'leri çağırır — bulut sunucularını karantinaya alır, anahtarları devre dışı bırakır veya paketleri kapatır. İşleve en az ayrıcalık ilkesine uygun bir execution role verin, işlemleri idempotent yapın, güvenlik önlemleri ve günlük kaydı ekleyin, hataları bir DLQ ve uyarılarla ele alın ve üretimde güvenmeden önce kapsamlı biçimde test edin.