事件驱动的响应
近乎实时地响应 GuardDuty、Security Hub 和 CloudTrail 事件，无需轮询云 API。
安全遏制手册
执行外科手术缓解措施：撤销活动的 IAM 会话、使用安全组隔离 EC2 主机以及阻止公共 S3 存储桶。
审计追踪和证据
每个自动遏制操作都会生成一个不可变的审核记录，将事件触发器链接到所采取的确切 CLI 和 API 操作。
架构与设置
- 1. 配置EventBridge规则： 设置与 AWS GuardDuty 或 Security Hub 中的高优先级结果匹配的 AWS EventBridge 规则。
- 2. 设置 API 目标： Point EventBridge to BlackShield's HTTPS webhook endpoint with an API Key header for cryptographic authentication.
- 3. 综合修复计划： When an event arrives, BlackShield maps the incident to MITRE ATT&CK techniques and constructs ordered containment steps.
- 4、执行方式： 选择咨询模式（单击执行之前在 SOC 控制台中查看遏制计划）或自主模式（即时自动缓解）。
EventBridge API 目标负载
{
"version": "0",
"id": "e29202ca-8fe4-4f51-b0db-6f5dfa6b29ef",
"detail-type": "GuardDuty Finding",
"source": "aws.guardduty",
"account": "123456789012",
"time": "2026-10-11T12:00:00Z",
"region": "us-east-1",
"detail": {
"severity": 8.0,
"type": "UnauthorizedAccess:IAMUser/InstanceCredentialExfiltration",
"resource": {
"resourceType": "AccessKey",
"accessKeyDetails": {
"accessKeyId": "ASIAEXAMPLEKEY",
"userName": "contractor-dev"
}
}
}
}支持的遏制行动
IAM 凭证吊销
立即使活动 STS 会话失效，并将内联拒绝策略附加到受损主体。
EC2 & Container Isolation
使用隔离的取证隔离组替换现有安全组，以停止命令和控制出口。
入口规则回滚
自动撤销 Security Hub 标记的未经批准的 0.0.0.0/0 入站 SSH、RDP 或数据库端口。
S3 公共区块执行
将 S3 PublicAccessBlock 应用于意外公开或由未经授权的主体修改的存储桶。
Verification & Readiness Checks
- ✔ EventBridge 规则 DLQ 配置为在网络重试期间保留事件。
- ✔ Cloud IAM 角色附加了最低权限遏制策略。
- ✔ SOC Remediation Workbench 中的模拟场景通过经过验证的审计跟踪来执行。