AWS hướng dẫn chuyển sự kiện Bedrock Guardrails sang chuẩn OCSF trên CloudWatch
AWS đăng một bài trên blog bảo mật hướng dẫn cách biến các sự kiện can thiệp của Amazon Bedrock Guardrails (chặn prompt injection, che dữ liệu cá nhân, lọc nội dung độc hại) thành bản ghi Detection Finding theo chuẩn OCSF (Open Cybersecurity Schema Framework) rồi lưu vào kho dữ liệu hợp nhất của CloudWatch, ra mắt từ tháng 12/2025. Quy trình lấy dữ liệu guardrail từ log gọi mô hình của Bedrock và dùng một hàm AWS Lambda tự viết để chuyển đổi, vì bộ xử lý ParseToOCSF có sẵn của CloudWatch chỉ hỗ trợ năm nguồn (CloudTrail, Route 53 Resolver, VPC Flow Logs, EKS audit logs và WAF), không gồm Bedrock Guardrails. Bước tự viết này còn cần thiết vì một log gọi mô hình có thể chứa nhiều đánh giá guardrail, phải tách thành từng finding riêng và gán mức độ nghiêm trọng theo loại chính sách. Khi đã chuẩn hóa, đội bảo mật có thể dùng Athena hoặc CloudWatch Logs Insights để đối chiếu với CloudTrail và VPC Flow Logs, chẳng hạn xem tài khoản bị chặn prompt injection nhiều có đồng thời gọi IAM thất bại hay không, các cuộc tấn công có chung địa chỉ IP nguồn không, và xu hướng vi phạm so với mốc 30 ngày trước. Cách làm này được đặt như một lớp bổ sung cho GuardDuty AI Protection, vốn cung cấp các cảnh báo mối đe dọa được quản lý cho hoạt động Bedrock. Trên thực tế, nó giúp đội SOC coi các lần guardrail chặn như mọi tín hiệu bảo mật khác thay vì để rời rạc trong số liệu theo từng Region và log thô.
Đội ngũ bảo mật và kỹ sư đám mây dùng Amazon Bedrock có thể áp dụng mô hình này để đưa các sự kiện guardrail vào chung kho dữ liệu với CloudTrail và VPC Flow Logs, phục vụ điều tra và phân tích xu hướng. Nếu chỉ cần phát hiện mối đe dọa được quản lý sẵn, hãy xem thêm GuardDuty AI Protection.
Đọc bài gốc