घटना-संचालित प्रतिक्रिया
पोलिंग क्लाउड एपीआई के बिना वास्तविक समय में गार्डड्यूटी, सिक्योरिटी हब और क्लाउडट्रेल घटनाओं पर प्रतिक्रिया करें।
सुरक्षित रोकथाम प्लेबुक
सर्जिकल शमन निष्पादित करें: सक्रिय IAM सत्र रद्द करें, सुरक्षा समूहों के साथ EC2 होस्ट को अलग करें, और सार्वजनिक S3 बकेट को ब्लॉक करें।
ऑडिट ट्रेल और सबूत
प्रत्येक स्वचालित रोकथाम कार्रवाई घटना ट्रिगर को सटीक सीएलआई और एपीआई कार्रवाई से जोड़ने वाला एक अपरिवर्तनीय ऑडिट रिकॉर्ड उत्पन्न करती है।
वास्तुकला एवं सेटअप
- 1. इवेंटब्रिज नियम कॉन्फ़िगर करें: AWS गार्डड्यूटी या सुरक्षा हब से उच्च प्राथमिकता वाले निष्कर्षों से मेल खाने वाला AWS इवेंटब्रिज नियम सेट करें।
- 2. एपीआई गंतव्य निर्धारित करें: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. संश्लेषण निवारण योजना: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. निष्पादन मोड: सलाहकार मोड (निष्पादन पर क्लिक करने से पहले एसओसी कंसोल में रोकथाम योजनाओं की समीक्षा करें) या स्वायत्त मोड (तत्काल स्वचालित शमन) के बीच चयन करें।
इवेंटब्रिज एपीआई गंतव्य पेलोड
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}समर्थित रोकथाम क्रियाएँ
आईएएम क्रेडेंशियल निरस्तीकरण
सक्रिय एसटीएस सत्रों को तुरंत अमान्य कर देता है और समझौता किए गए प्रिंसिपलों के लिए एक इनलाइन इनकार नीति संलग्न करता है।
EC2 & Container Isolation
आदेश-और-नियंत्रण निकास को रोकने के लिए मौजूदा सुरक्षा समूहों को एक अलग फोरेंसिक संगरोध समूह से बदल देता है।
प्रवेश नियम रोलबैक
सुरक्षा हब द्वारा चिह्नित अस्वीकृत 0.0.0.0/0 इनबाउंड एसएसएच, आरडीपी, या डेटाबेस पोर्ट को स्वचालित रूप से रद्द कर देता है।
S3 सार्वजनिक ब्लॉक प्रवर्तन
S3 PublicAccessBlock को गलती से सार्वजनिक किए गए या अनधिकृत प्रिंसिपलों द्वारा संशोधित बकेट पर लागू करता है।
Verification & Readiness Checks
- ✔ इवेंटब्रिज नियम DLQ को नेटवर्क पुनर्प्रयास के दौरान ईवेंट बनाए रखने के लिए कॉन्फ़िगर किया गया है।
- ✔ क्लाउड आईएएम भूमिका में न्यूनतम-विशेषाधिकार वाली रोकथाम नीतियां संलग्न हैं।
- ✔ एसओसी रेमेडिएशन वर्कबेंच में सिमुलेशन परिदृश्य सत्यापित ऑडिट ट्रेल्स के साथ निष्पादित होते हैं।