Gli analisti SOC di BlueSky Bank desiderano un'opzione "Quarantine EC2" con un solo clic all'interno di AWS Security Hub per isolare le istanze a cui fanno riferimento specifici risultati. Facendo clic sull'azione, dovrebbe essere richiamata una funzione Lambda esistente con il contesto completo del risultato, incluso l'ARN della risorsa selezionata. Qual è il design più appropriato per soddisfare questo requisito con il minimo attrito per gli analisti?

L'opzione corretta è creare un'azione personalizzata di Security Hub e configurare una regola EventBridge. Le azioni personalizzate di Security Hub sono progettate specificamente per consentire agli analisti di eseguire azioni predefinite con un solo clic direttamente dalla console di Security Hub. Quando un'azione personalizzata viene richiamata, Security Hub emette un evento EventBridge con il detail-type "Security Hub Findings - Custom Action", includendo il contesto completo del risultato. Una regola EventBridge può quindi filtrare questo evento in base all'ID dell'azione e invocare la funzione Lambda esistente, passando tutti i dettagli necessari. Le altre opzioni sono meno adatte: Creare un insight di Security Hub con un allarme CloudWatch non fornisce un meccanismo di azione "one-click" manuale per l'analista; l'allarme si attiverebbe automaticamente in base all'aggiornamento dell'insight, non a un'azione discreta. Le regole di automazione di Security Hub sono per l'automazione reattiva basata su criteri, non per azioni manuali "one-click" avviate dall'analista. Configurare Security Hub per pubblicare su un argomento SNS e sottoscrivere la funzione Lambda non fornisce un'interfaccia "one-click" per gli analisti direttamente dalla console di Security Hub per avviare l'azione.