Een bedrijf gebruikt een samenwerkingstoepassing. De security engineer heeft geautomatiseerde waarschuwingen van AWS Security Hub in de us-west-2 Regio nodig die in een kanaal verschijnen wanneer Security Hub een nieuwe bevinding ontvangt. Een Lambda-functie herformatteert het bericht en stuurt het naar de API van de applicatie. Een Amazon EventBridge-regel richt zich op de Lambda-functie. Na het inschakelen van de regel wordt het kanaal overspoeld met waarschuwingen, veel van Amazon Inspector die geen actie vereisen. Hoe kan de engineer met de minste operationele inspanning de Amazon Inspector-waarschuwingen stoppen?

De correcte optie is om het event pattern van de EventBridge-regel aan te passen. Door het ProductArn-attribuut in te stellen op anything-but: ["arn:aws:securityhub:us-west-2::product/aws/inspector"], filtert EventBridge de Amazon Inspector-bevindingen uit voordat ze de Lambda-functie bereiken. Dit is de meest efficiënte oplossing met de minste operationele inspanning, omdat het de filtering direct bij de bron van de gebeurtenisstroom toepast. Het bijwerken van de Lambda-functiecode (optie A) zou meer operationele overhead met zich meebrengen, omdat de code onderhouden en getest moet worden. Het maken van een Security Hub custom action (optie B) is niet de juiste benadering, omdat custom actions handmatig geactiveerd worden en niet bedoeld zijn voor automatische filtering van alle bevindingen. Het publiceren naar een SNS-onderwerp met een filterbeleid (optie D) is minder direct en introduceert een extra component in de architectuur, wat complexer is dan het direct filteren in EventBridge.