Os analistas do SOC do BlueSky Bank desejam uma opção de "Quarentena de EC2" com um clique dentro do AWS Security Hub para isolar instâncias referenciadas por descobertas específicas. Clicar na ação deve invocar uma função Lambda existente com o contexto completo da descoberta, incluindo o ARN do recurso selecionado. Qual é o design mais apropriado para atender a esse requisito com o mínimo de atrito para os analistas?

A criação de uma ação personalizada no Security Hub permite que os analistas executem uma ação com um clique diretamente de uma descoberta. O EventBridge pode ser configurado para detectar o evento Security Hub Findings - Custom Action e filtrar pelo actionId específico da ação personalizada, invocando a função Lambda com o contexto completo da descoberta. Isso atende ao requisito de "quarentena com um clique" e fornece o contexto necessário para a função Lambda. Criar um insight do Security Hub não permite uma ação direta com um clique e o alarme do CloudWatch seria acionado na atualização do insight, não por uma ação manual. As Regras de Automação do Security Hub são para automação baseada em critérios de descoberta, não para ações manuais iniciadas pelo usuário. Publicar descobertas em um tópico SNS exigiria que os analistas enviassem manualmente para o SNS, o que não é uma ação de "um clique" integrada ao Security Hub.