Los analistas del SOC de BlueSky Bank quieren una opción de “Quarantine EC2” de un solo clic dentro de AWS Security Hub para aislar las instancias a las que hacen referencia hallazgos específicos. Al hacer clic en la acción, se debe invocar una función Lambda existente con el contexto completo del hallazgo, incluido el ARN del recurso seleccionado. ¿Cuál es el diseño más apropiado para cumplir este requisito con la mínima fricción para los analistas?

La opción correcta es crear una acción personalizada de Security Hub. Esto permite a los analistas invocar una acción específica (como la cuarentena de EC2) directamente desde la consola de Security Hub con un solo clic. Al configurar una regla de EventBridge para que reaccione a los eventos de tipo "Security Hub Findings - Custom Action" y filtre por el actionId de la acción personalizada, se asegura que solo la acción deseada active la función Lambda. La función Lambda recibirá el contexto completo del hallazgo, incluido el ARN del recurso, lo cual es crucial para aislar la instancia correcta. Las otras opciones son incorrectas porque: Crear un informe y usar una alarma de CloudWatch no proporciona una acción de "un solo clic" ni el contexto del hallazgo de manera directa. Las reglas de automatización de Security Hub se ejecutan automáticamente en función de los criterios del hallazgo, no a través de una acción manual de "un solo clic". Publicar en SNS y suscribir la función Lambda no ofrece la funcionalidad de "un solo clic" desde la consola de Security Hub para invocar la acción deseada.