Bulguları Olay Örüntüleriyle Eşleştirme

Her olaya tepki vermek istemezsiniz; yalnızca önemli olanlara tepki vermek istersiniz. Bir olay kalıbı, bir kuralın hangi olaylar üzerinde işlem yapacağına karar veren filtredir.

Kesin bir kalıp, otomasyonunuzun gerçek bir tehdit ortaya çıktığında tam olarak çalışmasını, diğer zamanlarda sessiz kalmasını sağlar; böylece hem kaçırılan uyarılardan hem de gürültülü yanlış tetiklemelerden kaçınılır.

Olay kalıbı, eşleştirdiği olayların yapısını yansıtan JSON'dur. İlgilendiğiniz alanları ve değerleri belirtirsiniz; bir olay yalnızca belirtilen her alan eşleştiğinde eşleşir.

Belirtmediğiniz alanlar yok sayılır; bu nedenle bir kalıp ihtiyacınıza göre geniş veya dar olabilir.

En yaygın filtre kaynaktır; örneğin "aws.guardduty" veya "aws.macie".

detail-type ile birlikte kullanıldığında olayları belirli bir hizmetteki belirli bir türle sınırlar. Daha ayrıntılı filtreleme yapmadan önce herhangi bir güvenlik kuralı için doğal başlangıç noktasıdır.

Çoğu zaman yalnızca ciddi bulgular üzerinde işlem yapmak istersiniz. detail içindeki iç içe alanları eşleştirerek bir kalıp, örneğin GuardDuty önem derecesinin belirli bir eşik değerinde veya üzerinde olmasını zorunlu kılabilir.

EventBridge, büyüktür gibi sayısal eşleştirmeyi destekler; böylece bir kural yalnızca yüksek önem dereceli bulgular için çalışır ve düşük riskli gürültüyü yok sayar.

Kalıplar daha zengin işleçleri destekler: ön ek eşleştirmesi, exists denetimleri, anything-but ve IP adresi CIDR eşleştirmesi.

Bunlar, kesin koşulları ifade etmenizi sağlar; örneğin "UnauthorizedAccess" ile başlayan tüm bulgu türlerini veya bölge alanı bulunan ancak ana bölgeniz olmayan tüm olayları eşleştirebilirsiniz.

GuardDuty, Recon, CryptoCurrency veya InstanceCredentialExfiltration gibi düzinelerce bulgu türü üretir.

detail.type alanını eşleştirerek farklı tehditleri farklı düzeltmelere yönlendirebilirsiniz; böylece kimlik bilgisi hırsızlığı bir Lambda'ya, kripto madenciliği ise başka bir Lambda'ya gönderilir ve her tehdit hak ettiği yanıtı alır.

Hiçbir zaman eşleşmeyen bir kalıp, sessiz bir hatadır. Örnek bir olayı yapıştırmak ve kalıbın eşleştiğini doğrulamak için EventBridge konsolundaki korumalı alanı kullanın.

Dağıtımdan önce gerçek olay örnekleriyle test yapmak, otomasyonun hiç çalışmaması gibi utanç verici ve tehlikeli bir durumu önler.

Aşırı geniş bir kalıp, zararsız olaylar üzerinde düzeltme işlemi başlatarak kesintiye neden olur; her düşük önem dereceli bilgilendirici bulguda örnekleri yalıtmayı düşünün.

Kalıpları gerçek tehditlerle sınırlandırın. Buradaki incelik, gerçek olayları yakalayacak kadar eşleştirme yapmak ve otomatik eylem gerektirmeyen rutin gürültüyü dışlamaktır.

Aynı kalıp söz dizimi her olay kaynağı için çalışır: Config kuralı uyumluluğu değişiklikleri, Security Hub bulguları, Macie keşifleri veya belirli CloudTrail API çağrıları.

Olay kalıplarını bir kez öğrenerek tek ve tutarlı bir eşleştirme diliyle AWS ortamınızın tamamında güvenlik otomasyonu oluşturabilirsiniz.

Her şeyi yakalamaya çalışan tek ve dev bir kalıp oluşturmak yerine, her biri kendi kalıbına ve hedefine sahip birkaç odaklanmış kural oluşturun.

Bir kural, kimlik bilgisi bulgularında örnekleri yalıtır; başka bir kural yalnızca düşük önem dereceli keşifler için uyarı verir; bir diğeri Macie keşiflerine tepki verir. Daha küçük ve tek amaçlı kuralların test edilmesi, anlaşılması ve ayarlanması, her şeyi yakalamaya çalışan tek ve karmaşık bir kuraldan daha kolaydır.

Eşleşen bir olay, yalnızca bir hedefle eşleştirildiğinde işe yarar. Kalıp işlem yapılıp yapılmayacağına, hedef ise ne yapılacağına karar verir.

Birlikte bir kural oluştururlar: belirli önem derecesindeki bu tür bir bulgu, belirli bir düzeltmeyi tetikler. Bu eşleştirme, her otomatik yanıtın temelidir.

Kesin filtreyi seçin.

Bir olay kalıbı, bir kuralın hangi olaylar üzerinde işlem yapacağına karar veren JSON filtresidir; source, detail-type ve iç içe detail değerleri gibi alanları eşleştirir. Önem derecesi eşikleri için sayısal eşleştirmeyi; kapsamı kesinleştirmek için gelişmiş işleçleri (ön ek, exists, anything-but, CIDR) kullanın. Farklı düzeltmeleri yönlendirmek için belirli GuardDuty bulgu türlerini eşleştirin, kalıpları korumalı alanda test edin ve otomasyonun yalnızca gerçek tehditlerde çalışması için aşırı eşleştirmeden kaçının.