الدفاع السحابي المستقل

AWS EventBridge والمعالجة التلقائية للسحابة

قم بتوصيل أحداث أمان AWS بقواعد تشغيل الاحتواء الآلي. احتواء الموارد المعرضة للخطر، وعزل الشبكات، والتقاط الأدلة.

استجابة يحركها الحدث

تفاعل مع أحداث GuardDuty وSecurity Hub وCloudTrail في الوقت الفعلي تقريبًا دون استطلاع واجهات برمجة التطبيقات السحابية.

كتيبات قواعد الاحتواء الآمن

تنفيذ عمليات التخفيف الجراحية: إلغاء جلسات IAM النشطة، وعزل مضيفي EC2 بمجموعات الأمان، وحظر مجموعات S3 العامة.

مسار التدقيق والأدلة

يؤدي كل إجراء احتواء تلقائي إلى إنشاء سجل تدقيق غير قابل للتغيير يربط مشغل الحادث بإجراءات واجهة سطر الأوامر (CLI) وواجهة برمجة التطبيقات (API) الدقيقة التي تم اتخاذها.

الهندسة المعمارية والإعداد

  • 1. تكوين قاعدة EventBridge: قم بإعداد قاعدة AWS EventBridge التي تطابق النتائج ذات الأولوية العالية من AWS GuardDuty أو Security Hub.
  • 2. تعيين وجهة واجهة برمجة التطبيقات: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
  • 3. تجميع خطة العلاج: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
  • 4. وضع التنفيذ: اختر بين الوضع الاستشاري (مراجعة خطط الاحتواء في وحدة تحكم SOC قبل النقر فوق تنفيذ) أو الوضع المستقل (التخفيف الآلي الفوري).

حمولة الوجهة لواجهة برمجة تطبيقات EventBridge

{
  "version": "0",
  "id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
  "detail-type": "GuardDuty Finding",
  "source": "aws.guardduty",
  "account": "123456789012",
  "time": "2026-10-11T12:00:00Z",
  "region": "us-east-1",
  "detail": {
    "severity": 8.0,
    "type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
    "resource": {
      "resourceType": "AccessKey",
      "accessKeyDetails": {
        "accessKeyId": "ASIAEXAMPLEKEY",
        "userName": "contractor-dev"
      }
    }
  }
}

إجراءات الاحتواء المدعومة

IAM إبطال الاعتماد

يقوم على الفور بإبطال جلسات STS النشطة وإرفاق سياسة الرفض المضمّنة بالأساسيات المخترقة.

EC2 & Container Isolation

يستبدل مجموعات الأمان الموجودة بمجموعة عزل جنائية معزولة لوقف خروج القيادة والسيطرة.

التراجع عن قاعدة الدخول

يقوم تلقائيًا بإلغاء 0.0.0.0/0 الواردة من SSH أو RDP أو منافذ قاعدة البيانات التي تم وضع علامة عليها بواسطة Security Hub.

S3 إنفاذ الحظر العام

يتم تطبيق S3 PublicAccessBlock على الحاويات التي تم نشرها عن طريق الخطأ أو تعديلها بواسطة مديرين غير مصرح لهم.

Verification & Readiness Checks

  • ✔ تم تكوين قاعدة EventBridge DLQ للاحتفاظ بالأحداث أثناء إعادة محاولة الشبكة.
  • ✔ يتضمن دور Cloud IAM سياسات احتواء ذات امتيازات أقل.
  • ✔ يتم تنفيذ سيناريوهات المحاكاة في SOC Remediation Workbench باستخدام مسارات تدقيق تم التحقق منها.
AWS EventBridge والمعالجة التلقائية للسحابة