c6.8 Automatize a resposta a eventos de segurança da aplicação de IA

Transforme as detecções em ação automática

O registro e os alertas dizem que algo aconteceu; a resposta automatizada faz algo a respeito antes que um humano acorde. Para uma aplicação de IA, os eventos que valem a reação são coisas como um pico de bloqueios do guardrail, achados do GuardDuty sobre a computação da app, uma rajada de autenticações com falha ou um volume anômalo de invocações de um principal. O Amazon EventBridge é o concentrador: os serviços de segurança emitem eventos para ele, e você escreve regras que encaminham os eventos correspondentes a um alvo de resposta (Lambda, SSM Automation, Step Functions, SNS).

Combine os eventos que importam

Uma regra do EventBridge filtra por um padrão de evento — aqui, achados do GuardDuty de alta severidade (severidade 7+):

{
  "source": ["aws.guardduty"],
  "detail-type": ["GuardDuty Finding"],
  "detail": { "severity": [ { "numeric": [">=", 7] } ] }
}

Crie a regra e anexe uma função de resposta como seu alvo:

aws events put-rule \
  --name "ai-app-high-severity-response" \
  --event-pattern file://pattern.json

aws events put-targets \
  --rule "ai-app-high-severity-response" \
  --targets 'Id=1,Arn=arn:aws:lambda:us-east-1:111122223333:function:AutoRespond'

Torne a resposta proporcional e reversível

O alvo deve tomar uma ação limitada e bem compreendida — por exemplo: desabilitar uma credencial de aplicação vazada (rotacionar o segredo no Secrets Manager), revogar uma sessão, isolar o grupo de segurança de uma tarefa comprometida, ou abrir um ticket e paginar o on-call. Prefira conter e depois notificar em vez da automação destrutiva: coloque o recurso em quarentena e abra um caso em vez de encerrar coisas de imediato, para que uma resposta automatizada não se torne, ela mesma, uma interrupção.

Mantenha o respondedor com privilégio mínimo e auditado

A Lambda/automação de resposta é executada com sua própria função — restrinja-a apenas às ações de contenção que realiza, e registre cada ação automatizada (o que disparou, o que fez) para que a resposta seja, ela mesma, auditável. Combine com o controle de logs de auditoria atribuídos para poder reconstruir a linha do tempo completa de detecção → resposta.

Nota de nomenclatura: substitua o id da conta e o ARN da função, e ajuste o limite de severidade. Comece a automação em um modo somente notificação e revise o que ela teria feito antes de habilitar a contenção ativa.