SOC-аналитики BlueSky Bank хотят иметь опцию «Quarantine EC2» в AWS Security Hub, активируемую одним щелчком мыши, для изоляции инстансов, на которые ссылаются определенные результаты. Нажатие на действие должно вызывать существующую функцию Lambda с полным контекстом результата, включая ARN выбранного ресурса. Каков наиболее подходящий дизайн для удовлетворения этого требования с минимальными затруднениями для аналитиков?

Правильный ответ — создание пользовательского действия Security Hub. Это позволяет аналитикам вручную инициировать действие («Quarantine EC2») для конкретного результата одним щелчком мыши. Затем EventBridge можно настроить для прослушивания событий типа "Security Hub Findings - Custom Action" с определенным actionId, что позволяет вызвать функцию Lambda с полным контекстом результата. Неправильные варианты: Создание инсайта Security Hub и прикрепление сигнала CloudWatch не обеспечивает механизм активации по требованию одним щелчком мыши для изоляции конкретного инстанса. Правила автоматизации Security Hub предназначены для автоматического реагирования на результаты, а не для ручного запуска по требованию. Настройка Security Hub для публикации результатов в топик SNS и подписка функции Lambda не предоставляет опцию «Quarantine EC2» в пользовательском интерфейсе Security Hub для ручного запуска.