EventBridge Güvenlik Olaylarını Nasıl Yönlendirir

Amazon EventBridge, AWS hizmetlerinden gelen olayları bunlara göre işlem yapan hedeflere bağlayan sunucusuz bir olay veri yoludur.

Güvenlik açısından algılama ile müdahale arasındaki bağdır: bir GuardDuty bulgusu olaya dönüşür, EventBridge bu olayı yönlendirir ve Lambda gibi bir hedef saniyeler içinde otomatik olarak düzeltme yapar.

Olay, gerçekleşen bir şeyi açıklayan JSON iletisidir: bir bulgunun oluşturulması, bir kaynağın değişmesi veya bir API'nin çağrılması gibi.

AWS hizmetleri olayları otomatik olarak yayımlar. Her olayda bir kaynak, bir ayrıntı türü ve ayrıntıları içeren bir ayrıntı nesnesi bulunur; bunlar birlikte olayları tam olarak eşleştirip yönlendirmenizi sağlar.

Olaylar bir olay veri yoluna ulaşır. Her hesapta AWS hizmeti olayları için bir varsayılan veri yolu bulunur; kendi uygulamalarınız veya iş ortağı entegrasyonlarınız için özel veri yolları oluşturabilirsiniz.

Veri yollarını ayırmak, olay trafiğini düzenli tutar ve farklı akışlara farklı kurallar ile izinler uygulamanızı sağlar.

Bir kural veri yolunu izler ve olayları bir olay kalıbına göre eşleştirir. Bir olay eşleştiğinde kural, olayı bir veya daha fazla hedefe gönderir.

Bu kaynaktan hedefe yönlendirme, otomatik güvenliğin temelidir: yoklama yapmaya veya olayları dinlemek için özel kod yazmaya gerek kalmadan hangi bulguların hangi müdahaleleri tetikleyeceğine karar verir.

Kurallar, eşleşen olayları birçok hedefe iletebilir:

• Özel düzeltmeler için Lambda işlevleri.
• Bir ekibe bildirim göndermek için SNS konuları.
• Çok adımlı iş akışları için Step Functions.
• Systems Manager Otomasyon belgeleri.

Tek bir olay aynı anda birkaç hedefe dağıtılabilir.

EventBridge, güvenlik otomasyonu modelini mümkün kılar: bir algılayıcı (GuardDuty, Macie, Config veya Security Hub) bir bulgu yayımlar, bir kural bunu eşleştirir ve bir hedef düzeltme yapar veya uyarı gönderir.

Bu yaklaşım, manuel değerlendirmeyi anında ve tutarlı bir eyleme dönüştürür; saldırganın algılanması ile sınırlandırılması arasında sahip olduğu süreyi büyük ölçüde kısaltır.

EventBridge olayları gerçeğe yakın zamanda iletir ve tamamen sunucusuzdur; yönetilecek bir altyapı yoktur ve sistem otomatik olarak ölçeklenir.

Otomatik düzeltmeyi mümkün kılan hız budur: yüksek önem dereceli bir bulgu, algılandıktan sonraki saniyeler içinde yalıtılmış bir kaynağa yol açabilir; bu, herhangi bir insan müdahalesinden çok daha hızlıdır.

EventBridge, üye hesaplardan gelen olayları merkezi bir güvenlik hesabının veri yoluna gönderebilir.

Bu, algılama ve müdahaleyi merkezileştirir: kuruluş genelindeki bulgular, paylaşılan kuralların ve düzeltme mantığının bunları her hesapta otomasyonu çoğaltmaya gerek kalmadan tutarlı biçimde işlediği tek bir veri yoluna ulaşır.

EventBridge, hizmet olaylarının yanı sıra periyodik güvenlik kontrolleri çalıştırmak için zamanlanmış kuralları (cron benzeri) destekler ve belirli API çağrılarına tepki verebilmeniz için CloudTrail API olaylarını yakalar.

Örneğin, biri bir güvenlik denetimini devre dışı bıraktığında çalışacak ve anında uyarı tetikleyecek bir kural oluşturabilirsiniz.

EventBridge, bir olayı hedefe iletmeden önce dönüştürebilir; hedefin tam olarak beklediği verileri alması için JSON'u yeniden biçimlendirebilir veya gereksiz kısımlarını çıkarabilir.

Bu sayede tek bir bulgu, kullanıcı dostu bir ileti içeren bildirime ve ham ayrıntıları içeren bir düzeltme Lambda'sına aktarılabilir; araya yükü düzenlemek için bağlayıcı kod yazmanız gerekmez.

Sağlam otomasyon için EventBridge, iletilemeyen olaylar adına yeniden denemeler ve bir ölü harf kuyruğu (DLQ) sunar.

Bu, geçici bir hatanın kritik bir güvenlik eylemini sessizce yok etmemesini sağlar; başarısız bir düzeltme fark edilmeden kaybolmak yerine incelenmek üzere DLQ'ya ulaşır.

EventBridge'in rolünü açıklayın.

Amazon EventBridge, AWS hizmetlerinden gelen olayları kuralları ve olay kalıplarını kullanarak hedeflere yönlendiren sunucusuz bir olay veri yoludur. Algılama ile müdahale arasındaki bağlantıdır: GuardDuty veya Macie'den gelen bir bulgu bir kuralla eşleşir ve gerçeğe yakın zamanda Lambda, SNS veya Step Functions hedefini tetikler. Güvenilir otomasyon için hesaplar arası yönlendirmeyi bir güvenlik hesabına, zamanlanmış ve API tabanlı kuralları ve DLQ destekli yeniden denemeleri destekler.