Les analystes du SOC de BlueSky Bank souhaitent disposer d'une option « Quarantine EC2 » en un clic dans AWS Security Hub pour isoler les instances référencées par des résultats spécifiques. Le fait de cliquer sur l'action doit invoquer une fonction Lambda existante avec le contexte complet du résultat, y compris l'ARN de la ressource sélectionnée. Quelle est la conception la plus appropriée pour répondre à cette exigence avec un minimum de friction pour les analystes ?

La création d'une action personnalisée dans Security Hub permet aux analystes de déclencher manuellement une action en un clic directement depuis la console. EventBridge peut ensuite écouter les événements de type "Security Hub Findings - Custom Action" et filtrer sur l'ID de l'action spécifique pour invoquer la fonction Lambda avec le contexte complet du résultat. Cette approche est la plus directe et la moins frictionnelle pour les analystes. Les autres options sont moins appropriées : L'utilisation d'une alarme CloudWatch sur une information Security Hub ne permet pas une invocation manuelle en un clic et est plus adaptée à la surveillance des métriques. Les règles d'automatisation de Security Hub sont déclenchées automatiquement par des critères de résultats, pas par une action manuelle en un clic. Publier tous les résultats dans SNS et abonner la fonction Lambda nécessiterait une logique supplémentaire pour filtrer l'action manuelle spécifique et n'offre pas l'expérience "en un clic" demandée.