c4.13 Construir automatizaciones de seguridad avanzadas
La nube permite mucha más automatización de la respuesta a incidentes que on-premises, porque el contexto necesario para decidir está disponible de forma programática. Automatice las respuestas de mayor valor —captura forense y aislamiento de un recurso comprometido— para reducir el tiempo hasta la contención.
Guía de implementación
Por qué la nube lo hace posible
En la nube, la información que necesita un respondedor de incidentes está disponible de forma programática: el log completo de llamadas de API en AWS CloudTrail, el inventario de configuración y el historial de cambios en AWS Config, y Amazon EventBridge para disparar flujos de respuesta ante eventos específicos. Esto habilita un grado de automatización muy superior a lo práctico on-premises.
Dispare automatizaciones desde AWS Security Hub
AWS Security Hub es la fuente principal para impulsar estas automatizaciones. Agrega, correlaciona y prioriza los hallazgos de Amazon GuardDuty, Amazon Inspector, Amazon Macie y Security Hub CSPM en un solo flujo, de modo que automatiza desde un único lugar en vez de cablear cada servicio por separado. Use las reglas de automatización de Security Hub para actuar sobre un hallazgo según su criticidad y el recurso afectado, y enrute los hallazgos con Amazon EventBridge hacia sus propias remediaciones en AWS Lambda o Step Functions. Esto se combina con actuar sobre hallazgos críticos y automatizar playbooks críticos.
Automatice las respuestas de mayor valor
Durante un incidente activo, el tiempo para reunir evidencia forense y contener la amenaza determina directamente el impacto. Priorice automatizar:
- Captura forense de un recurso de cómputo comprometido (por ejemplo, snapshots de los volúmenes y la memoria de una instancia EC2).
- Aislamiento del recurso (por ejemplo, cambiar a un security group de cuarentena que bloquee la salida mientras se preserva para la investigación).
Pruebe a fondo estas automatizaciones. Si requieren aprobación humana, enrútela a múltiples aprobadores con un SLA y escalamiento. Si se ejecutan sin aprobación, considere el proceso de negocio del activo para que el aislamiento automático no cause más daño que el incidente.
Cómo validar
- ¿Tiene una forma automatizada de capturar evidencia forense de un recurso de cómputo comprometido?
- ¿Tiene una forma automatizada de aislar un recurso comprometido?
- ¿Ha probado estas automatizaciones y —si requieren aprobación— se enruta a múltiples aprobadores con SLA y escalamiento?
- Si se ejecutan sin aprobación, ¿se considera el impacto de negocio del activo para que el aislamiento no cause más daño que beneficio?
Amenazas que atiende
- Durante un incidente activo, la captura forense y la contención manuales y lentas permiten al adversario causar más daño; la automatización acorta el tiempo hasta la contención y reduce el impacto.
Servicios AWS
AWS Security Hub 
Amazon EventBridge 
AWS Lambda 
AWS Config