BlueSky銀行のSOCアナリストは、特定の検出結果によって参照されるインスタンスを隔離するために、AWS Security Hub内にワンクリックの「EC2を隔離」オプションを求めています。このアクションをクリックすると、選択されたリソースARNを含む完全な検出結果コンテキストで既存のLambda関数が呼び出される必要があります。アナリストにとって最小限の摩擦でこの要件を満たすための最も適切な設計は何ですか？

正解は、Security Hubカスタムアクションを作成し、EventBridgeルールでこれをトリガーしてLambda関数を呼び出す方法です。これにより、アナリストはSecurity Hubコンソールからワンクリックでインスタンスを隔離でき、検出結果の完全なコンテキストがLambda関数に渡されます。EventBridgeは、カスタムアクションからの特定のイベントをフィルタリングし、ターゲットのLambda関数にルーティングする役割を担います。 インサイトとCloudWatchアラームを使用する方法は、手動でのワンクリック操作ではなく、自動化された監視と通知に適しています。オートメーションルールはLambda関数を直接呼び出すことができますが、カスタムアクションのようなユーザー主導のワンクリック操作には対応していません。SNSトピックに公開する方法は、リアルタイムの通知には適していますが、ユーザーがクリックして特定のインスタンスを隔離するようなインタラクティブなアクションには直接対応していません。