c4.13 Construir automações de segurança avançadas

Por que a nuvem torna isso possível

Na nuvem, a informação de que um respondedor de incidentes precisa está disponível de forma programática: o log completo de chamadas de API no AWS CloudTrail, o inventário de configuração e o histórico de mudanças no AWS Config, e o Amazon EventBridge para disparar fluxos de resposta diante de eventos específicos. Isso habilita um grau de automação muito superior ao que é prático on-premises.

Dispare automações a partir do AWS Security Hub

O AWS Security Hub é a fonte principal para impulsionar essas automações. Ele agrega, correlaciona e prioriza as descobertas do Amazon GuardDuty, do Amazon Inspector, do Amazon Macie e do Security Hub CSPM em um único fluxo, de modo que você automatiza a partir de um único lugar em vez de conectar cada serviço separadamente. Use as regras de automação do Security Hub para agir sobre uma descoberta conforme a sua criticidade e o recurso afetado, e encaminhe as descobertas via Amazon EventBridge para as suas próprias remediações no AWS Lambda ou Step Functions. Isso se combina com agir sobre descobertas críticas e automatizar playbooks críticos.

Automatize as respostas de maior valor

Durante um incidente ativo, o tempo para reunir evidências forenses e conter a ameaça determina diretamente o impacto. Priorize automatizar:

• Captura forense de um recurso de computação comprometido (por exemplo, snapshots dos volumes e da memória de uma instância EC2).
• Isolamento do recurso (por exemplo, trocar para um security group de quarentena que bloqueie a saída enquanto o preserva para a investigação).

Teste essas automações a fundo. Se exigirem aprovação humana, encaminhe-a a múltiplos aprovadores com um SLA e escalonamento. Se rodarem sem aprovação, considere o processo de negócio do ativo para que o isolamento automático não cause mais dano do que o incidente.