イベント駆動型の応答
クラウド API をポーリングせずに、ほぼリアルタイムで GuardDuty、Security Hub、CloudTrail イベントに反応します。
安全な封じ込め戦略
外科的緩和策を実行します。アクティブな IAM セッションを取り消し、EC2 ホストをセキュリティ グループで隔離し、パブリック S3 バケットをブロックします。
監査証跡と証拠
すべての自動封じ込めアクションは、インシデントのトリガーを実行された正確な CLI および API アクションにリンクする不変の監査レコードを生成します。
アーキテクチャとセットアップ
- 1. EventBridge ルールを構成します。 AWS GuardDuty または Security Hub からの優先度の高い結果に一致する AWS EventBridge ルールを設定します。
- 2. API 宛先を設定します。 Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. 修復計画を作成します。 When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. 実行モード: アドバイザリー モード ([実行] をクリックする前に SOC コンソールで封じ込め計画を確認する) または自律モード (即座に自動化された軽減策) のいずれかを選択します。
EventBridge API 宛先ペイロード
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}サポートされている封じ込めアクション
IAM 認証情報の取り消し
アクティブな STS セッションをただちに無効にし、侵害されたプリンシパルにインライン拒否ポリシーをアタッチします。
EC2 & Container Isolation
既存のセキュリティ グループを分離されたフォレンジック隔離グループに置き換えて、コマンド アンド コントロールの出力を停止します。
イングレスルールのロールバック
Security Hub によってフラグが設定された未承認の 0.0.0.0/0 受信 SSH、RDP、またはデータベース ポートを自動的に取り消します。
S3 パブリック ブロックの強制
誤って公開されたバケット、または未承認のプリンシパルによって変更されたバケットに S3 PublicAccessBlock を適用します。
Verification & Readiness Checks
- ✔ EventBridge ルール DLQ は、ネットワークの再試行中にイベントを保持するように構成されています。
- ✔ Cloud IAM ロールには、最小権限の封じ込めポリシーがアタッチされています。
- ✔ SOC Remediation Workbench のシミュレーション シナリオは、検証済みの監査証跡を使用して実行されます。