Resposta orientada a eventos
Reaja a eventos GuardDuty, Security Hub e CloudTrail quase em tempo real, sem consultar APIs de nuvem.
Manuais de contenção segura
Execute mitigações cirúrgicas: revogue sessões ativas do IAM, isole hosts EC2 com grupos de segurança e bloqueie buckets S3 públicos.
Trilha de auditoria e evidências
Cada ação de contenção automatizada gera um registro de auditoria imutável que vincula o gatilho do incidente às ações exatas de CLI e API realizadas.
Arquitetura e configuração
- 1. Configure a regra do EventBridge: Configure uma regra do AWS EventBridge que corresponda às descobertas de alta prioridade do AWS GuardDuty ou do Security Hub.
- 2. Defina o destino da API: Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. Sintetizar o Plano de Remediação: When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4. Modo de Execução: Escolha entre o modo consultivo (revise os planos de contenção no console SOC antes de clicar em executar) ou o modo autônomo (mitigação automatizada instantânea).
Carga útil de destino da API EventBridge
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}Ações de contenção apoiadas
Revogação de credenciais IAM
Invalida imediatamente as sessões STS ativas e anexa uma política de negação em linha aos principais comprometidos.
EC2 & Container Isolation
Substitui os grupos de segurança existentes por um grupo de quarentena forense isolado para interromper a saída de comando e controle.
Reversão de regra de entrada
Revoga automaticamente portas SSH, RDP ou de banco de dados de entrada 0.0.0.0/0 não aprovadas sinalizadas pelo Security Hub.
Aplicação de bloqueio público S3
Aplica S3 PublicAccessBlock a buckets tornados públicos acidentalmente ou modificados por entidades não autorizadas.
Verification & Readiness Checks
- ✔ O EventBridge Rule DLQ é configurado para reter eventos durante novas tentativas de rede.
- ✔ A função Cloud IAM tem políticas de contenção de privilégio mínimo anexadas.
- ✔ Cenários de simulação no SOC Remediation Workbench são executados com trilhas de auditoria verificadas.