AWS EventBridge y corrección automática en la nube

Respuesta impulsada por eventos

Reaccione a eventos de GuardDuty, Security Hub y CloudTrail casi en tiempo real sin sondear las API de la nube.

Manuales de contención segura

Ejecute mitigaciones quirúrgicas: revoque sesiones IAM activas, aísle hosts EC2 con grupos de seguridad y bloquee depósitos públicos de S3.

Pista de auditoría y evidencia

Cada acción de contención automatizada genera un registro de auditoría inmutable que vincula el desencadenante del incidente con las acciones exactas de CLI y API tomadas.

Arquitectura y configuración

1. Configure la regla EventBridge: Configure una regla de AWS EventBridge que coincida con los hallazgos de alta prioridad de AWS GuardDuty o Security Hub.
2. Establecer destino de API: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
3. Sintetizar el Plan de Remediación: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
4. Modo de ejecución: Elija entre el modo de asesoramiento (revise los planes de contención en la consola SOC antes de hacer clic en ejecutar) o el modo autónomo (mitigación automática instantánea).

Carga útil de destino de la API de EventBridge

{
  "version": "0",
  "id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
  "detail-type": "GuardDuty Finding",
  "source": "aws.guardduty",
  "account": "123456789012",
  "time": "2026-10-11T12:00:00Z",
  "region": "us-east-1",
  "detail": {
    "severity": 8.0,
    "type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
    "resource": {
      "resourceType": "AccessKey",
      "accessKeyDetails": {
        "accessKeyId": "ASIAEXAMPLEKEY",
        "userName": "contractor-dev"
      }
    }
  }
}

Acciones de contención admitidas

Revocación de Credencial IAM

Invalida inmediatamente las sesiones STS activas y adjunta una política de denegación en línea a los principales comprometidos.

EC2 & Container Isolation

Reemplaza los grupos de seguridad existentes con un grupo de cuarentena forense aislado para detener la salida de comando y control.

Reversión de la regla de ingreso

Revoca automáticamente los puertos de base de datos o SSH entrantes 0.0.0.0/0 no aprobados marcados por Security Hub.

Aplicación de bloques públicos S3

Aplica S3 PublicAccessBlock a depósitos que accidentalmente se hacen públicos o son modificados por entidades principales no autorizadas.

Verification & Readiness Checks

✔ La regla DLQ de EventBridge está configurada para retener eventos durante los reintentos de red.
✔ La función Cloud IAM tiene adjuntas políticas de contención de privilegios mínimos.
✔ Los escenarios de simulación en SOC Remediation Workbench se ejecutan con pistas de auditoría verificadas.