De SOC-analisten van BlueSky Bank willen een "Quarantine EC2"-optie met één klik binnen AWS Security Hub om instances te isoleren waarnaar wordt verwezen door specifieke bevindingen. Het klikken op de actie moet een bestaande Lambda-functie aanroepen met de volledige context van de bevinding, inclusief de geselecteerde resource ARN. Wat is het meest geschikte ontwerp om aan deze vereiste te voldoen met minimale frictie voor analisten?

De correcte optie maakt gebruik van een Security Hub custom action, wat de "één-klik" functionaliteit biedt die de analisten wensen. Wanneer deze actie wordt geactiveerd, genereert Security Hub een EventBridge-gebeurtenis met het detail-type "Security Hub Findings - Custom Action". Een EventBridge-regel kan vervolgens specifiek op deze gebeurtenis filteren, inclusief de actionId van de custom action, en de bestaande Lambda-functie aanroepen met de volledige bevindingcontext. Dit is de meest directe en efficiënte methode om een interactieve actie van een analist te koppelen aan een geautomatiseerde respons. De andere opties zijn minder geschikt: Een Security Hub insight met een CloudWatch-alarm is niet ontworpen voor interactieve, één-klik acties van analisten; het is meer voor geautomatiseerde monitoring van trends. Security Hub Automation Rules kunnen Lambda-functies aanroepen, maar ze zijn bedoeld voor geautomatiseerde reacties op basis van bevindingcriteria, niet voor handmatig geactiveerde acties door analisten. Het publiceren van alle bevindingen naar SNS en het abonneren van de Lambda-functie zou betekenen dat de Lambda-functie op alle bevindingen reageert, tenzij er complexe filterlogica in de Lambda zelf zit, en het biedt geen "één-klik" actie voor specifieke bevindingen.