Analitycy SOC w BlueSky Bank chcą mieć opcję „Quarantine EC2” dostępną za pomocą jednego kliknięcia w AWS Security Hub, aby izolować instancje, do których odwołują się konkretne wyniki. Kliknięcie tej akcji powinno wywołać istniejącą funkcję Lambda z pełnym kontekstem wyniku, włączając w to ARN wybranego zasobu. Jaki jest najbardziej odpowiedni projekt, aby spełnić to wymaganie przy minimalnym wysiłku dla analityków?

Tworzenie niestandardowej akcji Security Hub, a następnie skonfigurowanie reguły EventBridge, jest najbardziej efektywnym rozwiązaniem. Niestandardowa akcja Security Hub pozwala analitykom na wywołanie zdefiniowanej akcji bezpośrednio z konsoli Security Hub za pomocą jednego kliknięcia. EventBridge może być skonfigurowany do przechwytywania zdarzeń typu „Security Hub Findings - Custom Action” i filtrowania ich po konkretnym actionId niestandardowej akcji. Następnie EventBridge może wywołać istniejącą funkcję Lambda, przekazując jej pełny kontekst wyniku, w tym ARN zasobu. Pozostałe opcje są mniej odpowiednie: Wgląd Security Hub z alarmem CloudWatch nie pozwala na ręczne wywołanie akcji przez analityka; alarm uruchamia się automatycznie. Reguły automatyzacji Security Hub mogą wywoływać funkcje Lambda, ale nie oferują opcji "jednego kliknięcia" dla analityka, a raczej automatyzują reakcje na wyniki. Konfiguracja Security Hub do publikowania wyników w temacie SNS i subskrybowanie funkcji Lambda wymagałoby dodatkowego kroku dla analityka, aby "wysłać do SNS", co nie jest natywną funkcją "jednego kliknięcia" w konsoli Security Hub dla konkretnego wyniku.