Ereignisgesteuerte Reaktion
Reagieren Sie nahezu in Echtzeit auf GuardDuty-, Security Hub- und CloudTrail-Ereignisse, ohne Cloud-APIs abzufragen.
Spielbücher zur sicheren Eindämmung
Führen Sie chirurgische Abhilfemaßnahmen durch: Widerrufen Sie aktive IAM-Sitzungen, isolieren Sie EC2-Hosts mit Sicherheitsgruppen und blockieren Sie öffentliche S3-Buckets.
Prüfpfad und Beweise
Jede automatisierte Eindämmungsaktion generiert einen unveränderlichen Prüfdatensatz, der den Vorfallauslöser mit den genauen durchgeführten CLI- und API-Aktionen verknüpft.
Architektur und Aufbau
- 1. EventBridge-Regel konfigurieren: Richten Sie eine AWS EventBridge-Regel ein, die Erkenntnisse mit hoher Priorität von AWS GuardDuty oder Security Hub abgleicht.
- 2. API-Ziel festlegen: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. Erstellen Sie einen Sanierungsplan: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. Ausführungsmodus: Wählen Sie zwischen dem Beratungsmodus (überprüfen Sie die Eindämmungspläne in der SOC-Konsole, bevor Sie auf „Ausführen“ klicken) oder dem autonomen Modus (sofortige automatische Schadensbegrenzung).
EventBridge-API-Zielnutzlast
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}Unterstützte Eindämmungsaktionen
Sperrung von IAM-Anmeldeinformationen
Macht aktive STS-Sitzungen sofort ungültig und fügt kompromittierten Prinzipalen eine Inline-Deny-Richtlinie hinzu.
EC2 & Container Isolation
Ersetzt vorhandene Sicherheitsgruppen durch eine isolierte forensische Quarantänegruppe, um Command-and-Control-Ausgang zu stoppen.
Rollback der Eingangsregel
Widerruft automatisch nicht genehmigte 0.0.0.0/0 eingehende SSH-, RDP- oder Datenbank-Ports, die von Security Hub gekennzeichnet sind.
Durchsetzung öffentlicher S3-Blocks
Wendet S3 PublicAccessBlock auf Buckets an, die versehentlich öffentlich gemacht oder von nicht autorisierten Prinzipalen geändert wurden.
Verification & Readiness Checks
- ✔ EventBridge Rule DLQ ist so konfiguriert, dass Ereignisse bei Netzwerkwiederholungen beibehalten werden.
- ✔ Mit der Cloud-IAM-Rolle sind Eindämmungsrichtlinien mit der geringsten Berechtigung verbunden.
- ✔ Simulationsszenarien in der SOC Remediation Workbench werden mit verifizierten Audit-Trails ausgeführt.