c6.8 Automatiza la respuesta a eventos de seguridad de la aplicación de IA

Convierte las detecciones en acción automática

El registro y las alertas te dicen que algo pasó; la respuesta automatizada hace algo al respecto antes de que un humano despierte. Para una aplicación de IA, los eventos que vale la pena atender son cosas como un aumento repentino de bloqueos del guardrail, hallazgos de GuardDuty sobre el cómputo de la app, una ráfaga de autenticaciones fallidas o un volumen anómalo de invocaciones de un principal. Amazon EventBridge es el concentrador: los servicios de seguridad le emiten eventos, y tú escribes reglas que enrutan los eventos coincidentes a un objetivo de respuesta (Lambda, SSM Automation, Step Functions, SNS).

Empareja los eventos que importan

Una regla de EventBridge filtra por un patrón de evento; aquí, hallazgos de GuardDuty de alta severidad (severidad 7+):

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": { "severity": [ { "numeric": [">=", 7] } ] }
}

Crea la regla y adjunta una función de respuesta como su objetivo:

aws events put-rule \
  --name "ai-app-high-severity-response" \
  --event-pattern file://pattern.json

aws events put-targets \
  --rule "ai-app-high-severity-response" \
  --targets 'Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:AutoRespond'

Haz la respuesta proporcionada y reversible

El objetivo debe tomar una acción acotada y bien entendida; por ejemplo: deshabilitar una credencial de aplicación filtrada (rotar el secreto en Secrets Manager), revocar una sesión, aislar el grupo de seguridad de una tarea comprometida, o levantar un ticket y paginar al on-call. Prefiere contener y luego notificar por encima de la automatización destructiva: pon en cuarentena el recurso y abre un caso en lugar de terminar cosas de golpe, para que una respuesta automatizada no se convierta ella misma en una interrupción.

Mantén al respondedor con mínimo privilegio y auditado

La Lambda/automatización de respuesta se ejecuta con su propio rol: acótalo solo a las acciones de contención que realiza, y registra cada acción automatizada (qué se disparó, qué hizo) para que la respuesta sea a su vez auditable. Combínalo con el control de logs de auditoría atribuidos para poder reconstruir la línea de tiempo completa de detección → respuesta.

Nota de nomenclatura: reemplaza el id de cuenta y el ARN de la función, y ajusta el umbral de severidad. Empieza la automatización en un modo de solo notificación y revisa qué habría hecho antes de habilitar la contención activa.