Die SOC-Analysten der BlueSky Bank wünschen sich eine "Quarantine EC2"-Option mit einem Klick innerhalb von AWS Security Hub, um Instanzen zu isolieren, auf die in bestimmten Findings verwiesen wird. Das Klicken auf die Aktion soll eine bestehende Lambda-Funktion mit dem vollständigen Finding-Kontext, einschließlich der ausgewählten Ressourcen-ARN, aufrufen. Welches ist das am besten geeignete Design, um diese Anforderung mit minimalem Aufwand für die Analysten zu erfüllen?

Die Erstellung einer benutzerdefinierten Security Hub-Aktion ist die direkte Methode, um eine Ein-Klick-Option in der Security Hub-Konsole bereitzustellen. Eine EventBridge-Regel, die auf "Security Hub Findings - Custom Action" filtert und die spezifische actionId der benutzerdefinierten Aktion abfängt, ist der korrekte Weg, um die Lambda-Funktion mit dem vollständigen Finding-Kontext auszulösen. Ein Security Hub Insight mit einem CloudWatch-Alarm würde nicht die gewünschte Ein-Klick-Interaktion bieten, da er auf Insight-Updates reagiert und nicht auf eine manuelle Aktion. Security Hub Automation Rules können Lambda-Funktionen auslösen, aber sie sind für die automatische Reaktion auf Findings konzipiert, nicht für eine manuelle Ein-Klick-Aktion durch einen Analysten. Die Veröffentlichung aller Findings in einem SNS-Thema und das Abonnieren der Lambda-Funktion würde eine manuelle Aktion erfordern, um das Finding an SNS zu senden, was nicht der gewünschten Ein-Klick-Funktionalität entspricht und unnötigen Overhead erzeugt.