Réponse basée sur les événements
Réagissez aux événements GuardDuty, Security Hub et CloudTrail en temps quasi réel sans interroger les API cloud.
Playbooks de confinement sécurisé
Exécutez des mesures d'atténuation chirurgicales : révoquez les sessions IAM actives, isolez les hôtes EC2 avec des groupes de sécurité et bloquez les compartiments S3 publics.
Piste d’audit et preuves
Chaque action de confinement automatisée génère un enregistrement d'audit immuable reliant le déclencheur de l'incident aux actions CLI et API exactes prises.
Architecture et configuration
- 1. Configurez la règle EventBridge : Configurez une règle AWS EventBridge correspondant aux résultats hautement prioritaires d'AWS GuardDuty ou de Security Hub.
- 2. Définissez la destination de l'API : Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. Synthétiser le plan de remédiation : When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. Mode d'exécution : Choisissez entre le mode consultatif (examiner les plans de confinement dans la console SOC avant de cliquer sur exécuter) ou le mode autonome (atténuation automatisée instantanée).
Charge utile de destination de l'API EventBridge
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}Actions de confinement prises en charge
Révocation des informations d'identification IAM
Invalide immédiatement les sessions STS actives et attache une politique de refus en ligne aux principaux compromis.
EC2 & Container Isolation
Remplace les groupes de sécurité existants par un groupe de quarantaine médico-légale isolé pour arrêter la sortie de commande et de contrôle.
Annulation des règles d'entrée
Révoque automatiquement les ports SSH, RDP ou de base de données entrants 0.0.0.0/0 non approuvés signalés par Security Hub.
Application du blocage public S3
Applique S3 PublicAccessBlock aux compartiments rendus publics accidentellement ou modifiés par des entités principales non autorisées.
Verification & Readiness Checks
- ✔ EventBridge Rule DLQ est configuré pour conserver les événements lors des tentatives réseau.
- ✔ Le rôle Cloud IAM est associé à des stratégies de confinement du moindre privilège.
- ✔ Les scénarios de simulation dans SOC Remediation Workbench s'exécutent avec des pistes d'audit vérifiées.