EventBridge 如何路由安全事件

Amazon EventBridge是一种无服务器事件总线，可将 AWS 服务发出的事件连接到对这些事件采取行动的目标。

在安全领域，它连接了检测与响应：GuardDuty 的 Finding 会变成事件，EventBridge 对其进行路由，而 Lambda 等目标会自动执行修复——整个过程只需几秒。

事件是一条描述已发生事情的 JSON 消息，例如产生了 Finding、资源发生变化或调用了 API。

AWS 服务会自动发出事件。每个事件都包含来源、detail-type 和包含具体信息的 detail 对象，这些信息结合起来可以实现精确匹配和路由。

事件会到达事件总线。每个账户都有用于接收 AWS 服务事件的默认总线，您还可以为自己的应用程序或合作伙伴集成创建自定义总线。

分离不同的总线可以使事件流量井然有序，并让您能够针对不同的数据流应用不同的规则和权限。

规则会监视总线，并根据事件模式匹配事件。事件匹配后，规则会将其发送到一个或多个目标。

这种从来源到目标的路由是自动化安全的核心：它决定哪些 Finding 会触发哪些响应，无需轮询，也无需编写自定义代码来监听事件。

规则可以将匹配的事件发送到许多目标：

• 用于自定义修复的Lambda函数。
• 用于通知团队的SNS主题。
• 用于多步骤工作流的Step Functions。
• Systems Manager自动化文档。

一个事件可以同时分发到多个目标。

EventBridge 支持安全自动化模式：检测器（GuardDuty、Macie、Config、Security Hub）发出 Finding，规则匹配该 Finding，然后由目标执行修复或发出警报。

这会将人工分类处理转变为即时且一致的行动，大幅缩短攻击者从被检测到被遏制之间可以利用的时间。

EventBridge 近乎实时地传递事件，并且完全无服务器——无需管理基础设施，还能自动扩展。

正是这种速度使自动修复成为可能：高严重性 Finding 可在检测后的几秒内促使资源被隔离，远快于任何人工响应人员的处理速度。

EventBridge 可以将成员账户中的事件发送到中央安全账户的总线。

这会集中检测与响应：组织各处的 Finding 都会进入同一条总线，由共享规则和修复逻辑统一处理，而不必在每个账户中重复部署自动化机制。

除了服务事件，EventBridge 还支持计划规则（类似 cron），用于定期运行安全检查；同时还能捕获CloudTrail API 事件，以便您针对特定 API 调用做出响应。

例如，每当有人禁用某项安全控制时，规则都可以触发并立即发出警报。

EventBridge 可以在将事件传递给目标之前对其进行转换，重新组织或删减 JSON，使目标恰好收到其所需的内容。

这样，一个 Finding 就可以为通知提供易于理解的消息，同时为修复 Lambda 提供原始详细信息，而无需编写衔接代码来处理中间的有效负载。

为了实现稳健的自动化，EventBridge 为传递失败的事件提供重试机制和死信队列（DLQ）。

这可以确保临时故障不会悄然丢失关键的安全操作——失败的修复操作会进入 DLQ 供检查，而不是无人察觉地消失。

说明 EventBridge 的作用。

Amazon EventBridge是一种无服务器事件总线，使用规则和事件模式，将 AWS 服务发出的事件路由到目标。它连接了检测与响应：来自 GuardDuty 或 Macie 的 Finding 匹配规则后，会近乎实时地触发 Lambda、SNS 或 Step Functions 目标。它支持跨账户路由到安全账户、计划规则和由 API 驱动的规则，并通过 DLQ 支持的重试机制实现可靠的自动化。