本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

新增新的修補

您可以手動新增修補，方法是更新適當的手冊檔案，或以程式設計方式將解決方案延伸到 CDK 建構模組，視您偏好的工作流程而定。

手動工作流程概觀

AWS Runbook 上的自動化安全回應必須遵循下列標準命名：

ASR-<standard>-<version>-<control>

標準：安全標準的縮寫。這必須符合 ASR 支援的標準。它必須是「CIS」、「AFSBP」、「PCI」、「NIST」或「SC」之一。

版本：標準的版本。同樣地，這必須符合 ASR 支援的版本和調查結果資料中的版本。

控制項：要修復之控制項的控制項 ID。這必須符合調查結果資料。

步驟 1. 在成員帳戶 （多個） 中建立 Runbook

步驟 2. 在成員帳戶中建立 IAM 角色 (IAM)

此時，您的修復處於作用中狀態，可從 AWS Security Hub 中的 ASR 自訂動作自動修復。

步驟 3：（選用） 在管理員帳戶中建立自動修復規則

自動 （非「自動」) 修補是 AWS Security Hub 收到調查結果後立即執行修補。使用此選項之前，請仔細考慮風險。

CDK 工作流程概觀

總之，ASR 儲存庫中的下列檔案將會修改或新增。在此範例中，ElastiCache.2 的新修補已新增至 SC 和 AFSBP 手冊。

在此範例中，ElastiCache.2 包含在下列 Security Hub 標準中：

由於 ASR 預設只會實作 AFSBP 和 NIST.800-53 的手冊，因此除了 SC 之外，我們會將此新修補新增至這些手冊。

Modify (修改)

Add

開發步驟

步驟 1：建立修復 Runbook

這是用於修復資源的 SSM 文件。它必須包含 AutomationAssumeRole 參數，這是具有執行修復許可的 IAM 角色。建立新的修復 Runbook 時，請檢視現有的 檔案source/remediation_runbooks/EnableElastiCacheVersionUpgrades.yaml做為參考。

所有新的 Runbook 都應新增至 source/remediation_runbooks/目錄。

步驟 2：建立控制 Runbook

控制 Runbook 是手冊特定的 Runbook，可從指定的標準剖析調查結果資料，並執行適當的修復 Runbook。由於我們會將 ElastiCache.2 修復新增至 SC、AFSBP 和 NIST80053 手冊，因此我們必須為每個手冊建立新的控制執行手冊。系統會建立下列檔案：

ASR 中的某些手冊支援 TypeScript 中的 IaC 控制 Runbook，而其他手冊必須以原始 YAML 撰寫。參考個別手冊中的現有修補做為範例。在此範例中，我們將介紹使用 IaC 的 SC 手冊。

在 SC 手冊中，您的新控制項 Runbook 應該匯出擴展 ControlRunbookDocument 並符合修復 Runbook 名稱的類別。請查看以下範例：

export class EnableElastiCacheVersionUpgrades extends ControlRunbookDocument {
  constructor(scope: Construct, id: string, props: ControlRunbookProps) {
    super(scope, id, {
      ...props,
      securityControlId: 'ElastiCache.2',
      remediationName: 'EnableElastiCacheVersionUpgrades',
      scope: RemediationScope.REGIONAL,
      resourceIdRegex: <Regex>,
      resourceIdName: 'ClusterId',
      updateDescription: new StringFormat('Automatic minor version upgrades enabled for cluster %s.', [
        StringVariable.of(`ParseInput.ClusterId`),
      ]),
    });
  }
}

您也必須匯出名為 的函數createControlRunbook，該函數會傳回您類別的新執行個體。對於 ElastiCache.2,如下所示：

export function createControlRunbook(scope: Construct, id: string, props: PlaybookProps): ControlRunbookDocument {
  return new EnableElastiCacheVersionUpgrades(scope, id, { ...props, controlId: 'ElastiCache.2' });
}

其中 controlId 是與您正在操作的 手冊相關聯的安全標準中定義的控制 ID。

如果 Security Hub 控制項具有您要傳遞至修復 Runbook 的參數，您可以透過將覆寫新增至下列方法來傳遞這些參數：- getExtraSteps： 會定義針對 Security Hub 中針對控制項實作的每個參數的預設值

若要檢視範例，請導覽至 source/playbooks/SC/ssmdocs/SC_DynamoDB.1.ts 檔案。

步驟 3：將每個控制 Runbook 與 Playbook 整合

對於在上一個步驟中建立的每個控制項 Runbook，您現在必須將其與相關聯程序手冊中的基礎設施定義整合。請遵循每個控制 Runbook 的以下步驟。

在/<playbook_name>/control_runbooks-construct.ts匯入您新建立的控制 Runbook 檔案中，如下所示：

import * as elasticache_2 from '../ssmdocs/SC_ElastiCache.2';

接著，前往 的 陣列

const controlRunbooksRecord: Record<string, any>

並將對應控制項 ID （手冊特定） 的新項目新增至您建立createControlRunbook的方法：

'ElastiCache.2': elasticache_2.createControlRunbook,

將手冊特定的控制項 ID 新增至 中的修復清單， <playbook_name>\_remediations.ts如下所示：

{ control: 'ElastiCache.2', versionAdded: '2.3.0' },

versionAdded 欄位應該是解決方案的最新版本。如果新增修復違反範本大小限制，請增加 versionAdded。您可以調整 中每個手冊成員堆疊中包含的修補數量solution_env.sh。

步驟 4：建立修補 IAM 角色並整合修補 Runbook

每個修補都有自己的 IAM 角色，具有執行修補 Runbook 所需的自訂許可。此外，需要呼叫 RunbookFactory.createRemediationRunbook方法，才能將您在步驟 1 中建立的修復 Runbook 新增至解決方案的 CloudFormation 範本。

在 中remediation-runook-stack.ts，每個修復在 RemediationRunbookStack類別中都有自己的程式碼區塊。下列程式碼區塊顯示為 ElastiCache.2 修補建立新的 IAM 角色和修補 Runbook 整合：

    //-----------------------
    // EnableElastiCacheVersionUpgrades
    //
    {
      const remediationName = 'EnableElastiCacheVersionUpgrades'; // should match the name of your remediation runbook
      const inlinePolicy = new Policy(props.roleStack, `ASR-Remediation-Policy-${remediationName}`);

      const remediationPolicy = new PolicyStatement();
      remediationPolicy.addActions('elasticache:ModifyCacheCluster');
      remediationPolicy.effect = Effect.ALLOW;
      remediationPolicy.addResources(`arn:${this.partition}:elasticache:*:${this.account}:cluster:*`);
      inlinePolicy.addStatements(remediationPolicy);

      new SsmRole(props.roleStack, 'RemediationRole ' + remediationName, { // creates the remediation IAM role
        solutionId: props.solutionId,
        ssmDocName: remediationName,
        remediationPolicy: inlinePolicy,
        remediationRoleName: `${remediationRoleNameBase}${remediationName}`,
      });

      RunbookFactory.createRemediationRunbook(this, 'ASR ' + remediationName, { // adds the remediation runbook to the solution's cloudformation templates
        ssmDocName: remediationName,
        ssmDocPath: ssmdocs,
        ssmDocFileName: `${remediationName}.yaml`,
        scriptPath: `${ssmdocs}/scripts`,
        solutionVersion: props.solutionVersion,
        solutionDistBucket: props.solutionDistBucket,
        solutionId: props.solutionId,
        namespace: namespace,
      });
    }

步驟 5：更新單位測試

建議您在新增修補之後更新並執行單元測試。

首先，您必須將任何新的規則表達式 （尚未新增） 新增至 source/test/regex_registry.ts 檔案。此檔案會對解決方案 Runbook 中包含的每個新規則表達式強制執行測試。查看 addElastiCacheClusterTestCases函數做為範例，此函數用於測試 ElastiCache 修復中使用的規則表達式。

最後，您將需要更新每個堆疊的快照。快照是版本控制的 CloudFormation 範本定義，用於追蹤對 ASR 基礎設施所做的變更。您可以從 deployment目錄執行下列命令來更新這些快照檔案：

./run-unit-tests.sh update

現在您已準備好部署新的修補！導覽至下面的建置和部署區段，以取得使用新變更建置和部署解決方案的指示。