使用 Step Functions 编排响应

有些事件响应包含许多必须按顺序执行的步骤，还需要分支和错误处理。此时，单个 Lambda 会变得难以管理。

AWS Step Functions 会将多个步骤编排成可靠且可视化的工作流，让复杂的修复变得易于管理和审计。

Step Functions 是一种无服务器编排服务，可将任务协调为状态机。

每个步骤或状态都会执行一项操作，通常是调用 Lambda；工作流则定义这些步骤之间的顺序、分支、重试和错误处理。它负责管理流程，让每个函数保持简单。

状态机使用 Amazon States Language 以 JSON 定义。状态可以运行任务、进行选择、等待、并行运行步骤，或结束工作流。

这种声明式定义提供了清晰的可视化地图，准确展示多步骤响应如何从开始到结束展开。

请考虑如何响应遭到入侵的实例。状态机可以依次执行：隔离实例、创建其卷的快照、收集取证数据、通知团队，然后创建工单；每项都是一个独立且有序的步骤。

如果任何步骤失败，工作流可以重试该步骤，或转到错误路径，而无需编写自定义连接代码。

Choice 状态允许工作流根据输入采取不同路径。高严重性的发现结果可能触发完全隔离，而中等严重性的发现结果可能只触发告警。

这种分支会将决策逻辑直接编码到编排中，使响应能够自动匹配威胁的严重程度。

Step Functions 在每个步骤都提供重试和捕获功能。遭到限流的 API 调用会通过退避机制自动重试；无法恢复的错误则会转到定义好的捕获处理程序。

这种弹性很难仅靠普通代码正确构建，但 Step Functions 已将其内置其中，因此多步骤自动化会可靠得多。

对于破坏性操作，工作流可以使用回调任务令牌暂停并等待人工审批。

状态机会发送通知并暂停，只有审批人作出响应后才会恢复。这让自动化的速度与人工判断相结合，适用于不可逆的决策。

Parallel 状态可以同时运行多个分支，例如在收集日志的同时创建卷快照并通知团队；Map 则会对列表中的每个项目重复执行某个步骤，例如隔离发现结果中的每个实例。

这种并发方式可以加快响应速度，并处理影响多个资源的事件。

Step Functions 会记录每次工作流运行的完整执行历史，包括每个步骤及其输入、输出和用时。

对于事件响应，这一点非常宝贵：您可以获得一份精确且自动生成的审计记录，清楚了解自动化执行了什么操作以及何时执行，以便进行事件后复盘。

Step Functions 工作流和 Lambda 一样，可以成为 EventBridge 的目标。匹配到的发现结果会启动一次执行，并将事件作为输入传递给状态机。

这样就能将复杂编排直接接入您的检测流程：单个高严重性发现结果即可自动启动完整的多步骤响应，并保留审计记录。

请根据复杂程度进行选择。单一且自包含的修复适合使用单个Lambda。

如果响应包含有序步骤、分支、并行处理、重试或人工审批，则应使用 Step Functions 编排多个 Lambda。编排器让每个函数保持简单，同时使整体工作流保持可靠且清晰。

选择合适的工具。

AWS Step Functions 会将多步骤事件响应编排为使用 Amazon States Language 定义的状态机。它可以协调有序任务（通常是 Lambda）、按严重性进行 Choice 分支、使用 Parallel 和 Map 并发处理、内置重试和捕获功能，以及针对破坏性操作暂停等待人工审批。完整的执行历史会提供自动审计记录。简单修复使用单个 Lambda；当工作流变得复杂时，使用 Step Functions。