Event-driven response
Reagisci agli eventi GuardDuty, Security Hub e CloudTrail quasi in tempo reale senza interrogare le API cloud.
Playbook di contenimento sicuro
Esegui mitigazioni chirurgiche: revoca le sessioni IAM attive, isola gli host EC2 con gruppi di sicurezza e blocca i bucket S3 pubblici.
Traccia di controllo e prove
Ogni azione di contenimento automatizzata genera un record di audit immutabile che collega l'attivazione dell'incidente alle esatte azioni CLI e API intraprese.
Architettura e configurazione
- 1. Configura la regola EventBridge: Configura una regola AWS EventBridge che corrisponda ai risultati ad alta priorità di AWS GuardDuty o Security Hub.
- 2. Imposta la destinazione API: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. Sintetizzare il piano di riparazione: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. Modalità di esecuzione: Scegli tra la modalità consultiva (rivedere i piani di contenimento nella console SOC prima di fare clic su Esegui) o la modalità autonoma (mitigazione automatizzata istantanea).
Payload di destinazione dell'API EventBridge
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}Azioni di contenimento supportate
Revoca delle credenziali IAM
Invalida immediatamente le sessioni STS attive e allega una policy di rifiuto in linea alle entità compromesse.
EC2 & Container Isolation
Sostituisce i gruppi di sicurezza esistenti con un gruppo di quarantena forense isolato per arrestare l'uscita di comando e controllo.
Rollback della regola di ingresso
Revoca automaticamente le porte SSH, RDP o database in entrata 0.0.0.0/0 non approvate contrassegnate da Security Hub.
Applicazione del blocco pubblico S3
Applica S3 PublicAccessBlock ai bucket resi pubblici accidentalmente o modificati da entità non autorizzate.
Verification & Readiness Checks
- ✔ EventBridge Rule DLQ è configurato per conservare gli eventi durante i tentativi di rete.
- ✔ Al ruolo Cloud IAM sono collegate policy di contenimento con privilegi minimi.
- ✔ Gli scenari di simulazione nel SOC Remediation Workbench vengono eseguiti con audit trail verificati.