Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Validierung Ihrer AWS Security Incident Response configuration

Nachdem Sie das Onboarding abgeschlossen haben, können Sie überprüfen, ob Registrierung, Erkennungsquellen, AWS Identity and Access Management (IAM) -Berechtigungen, Eingrenzung und Benachrichtigungen korrekt konfiguriert sind, bevor ein echtes Sicherheitsereignis eintritt. In diesem Abschnitt werden schrittweise Überprüfungsverfahren beschrieben, die sowohl die CLI als auch die CLI verwenden. AWS-Managementkonsole AWS

Bevor Sie validieren

Voraussetzungen für die Validierung Ihrer Security Incident Response-Konfiguration

Um diese Validierungsschritte abzuschließen, stellen Sie sicher, dass Sie über Folgendes verfügen:

Bestätigen Sie die Bereitschaft zum Protokoll

AWS Security Incident Response aktiviert keine Protokollquellen in Ihrem Namen. Während einer Untersuchung verlassen sich Techniker auf Protokolle, die bereits in Ihrer Umgebung vorhanden sind. Vergewissern Sie sich vor der Validierung Ihrer Einrichtung, dass die folgenden Protokolle in allen abgedeckten Konten aktiviert sind und AWS-Regionen. Ohne diese Protokolle haben die Techniker von Security Incident Response bei Untersuchungen nur einen eingeschränkten Einblick. Aktivieren Sie sie, bevor Sie fortfahren.

Verify GuardDuty ist aktiviert

Verwenden Sie den folgenden Befehl, um zu überprüfen, ob Amazon in Ihren Konten aktiv GuardDuty ist:

aws guardduty list-detectors

Eine nicht leere Antwort bestätigt, dass in der aktuellen AWS-Region Version aktiviert GuardDuty ist. Wiederholen Sie diesen Schritt für jede aktive Region oder überprüfen Sie die Überprüfung unternehmensweit über das GuardDuty delegierte Administratorkonto.

Schritt 1: Überprüfen Sie die Registrierung und Mitgliedschaft

Verwendung der AWS Security Incident Response Konsole

Verwendung der AWS CLI

Führen Sie den folgenden Befehl von Ihrem delegierten Administratorkonto aus:

aws security-ir list-memberships

Der vorhergehende Befehl gibt Ihre Mitglieds-ID und Ihren Status zurück.

Führen Sie den folgenden Befehl aus, um die vollständigen Mitgliedschaftsdetails einschließlich der Konfiguration Ihres Incident-Response-Teams abzurufen:

aws security-ir get-membership --membership-id membership-id

Verwenden Sie die Befehlsausgabe, um die folgenden Informationen zu überprüfen.

Überprüfen Sie den delegierten Administrator

Führen Sie den folgenden Befehl aus, um zu bestätigen, dass das richtige Konto als delegierter Administrator für Security Incident Response registriert ist:

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

Schritt 2: Überprüfen Sie die Erkennungsquellen und die Triage

AWS Security Incident Response überwacht Sicherheitsergebnisse von Tools GuardDuty und Tools von Drittanbietern über Security Hub CSPM. Der Service verwendet eine serviceverknüpfte Rolle, um Erkenntnisse mithilfe von EventBridge Amazon-Regeln zu erfassen, die während des Onboardings auf Ihre Konten angewendet werden.

Überprüfen Sie die serviceverknüpfte Triage-Rolle

Die AWSServiceRoleForSecurityIncidentResponse_Triage serviceverknüpfte Rolle muss in Ihrem Verwaltungskonto und allen im Geltungsbereich enthaltenen Mitgliedskonten vorhanden sein.

Führen Sie zur Überprüfung den folgenden Befehl in den Verwaltungs- und Mitgliedskonten im Geltungsbereich aus:

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

Eine erfolgreiche Antwort bestätigt, dass die Rolle existiert. Wenn Sie eine NoSuchEntity Fehlermeldung erhalten, führen Sie einen der folgenden Schritte aus:

Überprüfen Sie die primäre serviceverknüpfte Rolle

Die AWSServiceRoleForSecurityIncidentResponse Rolle sollte auch in Ihrem delegierten Administratorkonto vorhanden sein. Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Rolle vorhanden ist:

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

Überprüfen Sie die proaktive Reaktion und EventBridge die Regeln

Vergewissern Sie sich in der AWS Security Incident Response Konsole, dass die proaktive Reaktion als aktiviert angezeigt wird. Wenn der Dienst aktiviert ist, führt er Folgendes aus:

Stellen Sie sicher, dass die EventBridge Regeln in den Mitgliedskonten angewendet werden

Gehen Sie wie folgt vor, um zu überprüfen, ob EventBridge Regeln in Mitgliedskonten implementiert sind.

Wenn die Regeln fehlen, führen Sie das Proactive Response-Setup von der Security Incident Response-Konsole aus oder kontaktieren Sie uns AWS Support erneut.

Überprüfen Sie die Integrationen von Drittanbietern (falls zutreffend)

Wenn Sie Erkennungstools von Drittanbietern (wie CrowdStrike Falcon, Trend Micro Cloud One oder Fortinet Lacework ForticNapp) verwenden, stellen Sie sicher, dass deren Ergebnisse über Security Hub CSPM weitergeleitet werden:

Schritt 3: Verifizieren Sie die automatische Suchpipeline

Dieser Schritt bestätigt, dass die EventBridge Pipeline aktiv ist und die Ergebnisse einer automatisierten Triage unterzogen werden.

Informationen zu den Ergebnissen der GuardDuty Stichprobe

GuardDutyDie integrierte Funktion „Stichprobenergebnisse generieren“ generiert Ergebnisse, die als Stichproben gekennzeichnet sind. Die automatische Triage filtert Stichprobenergebnisse, um Störungen zu vermeiden. Sie werden nicht durch die gesamte Triage-Pipeline geleitet und können nicht zur Validierung Ihrer Security Incident Response-Konfiguration verwendet werden. Verwenden Sie sie nicht für diesen Schritt.

Mit der GuardDuty Testdomain validieren

Die GuardDuty Dokumentation enthält eine Testdomäne (guarddutyc2activityb.com), die ein reales Ergebnis generiert, ohne dass reale Sicherheitsereignisse erforderlich sind. Die Abfrage dieser Domain von einer Amazon EC2-Instance in einem abgedeckten Konto führt zu einem Ergebnis, das Security Incident Response aufnimmt und verarbeitet.

Um ein Testergebnis zu generieren:

Was ist zu erwarten:

Schritt 4: Überprüfen Sie das Team für Benachrichtigungen und die Reaktion auf Vorfälle

Verifizieren Sie Ihr Team für die Reaktion auf Vorfälle

Überprüfen Sie in der Security Incident Response-Konsole die Mitglieder Ihres konfigurierten Incident-Response-Teams. Jedes Mitglied erhält sofort E-Mail-Benachrichtigungen, wenn ein Fall erstellt wird.

Oder führen Sie zur Überprüfung den folgenden Befehl aus, indem Sie Folgendes verwenden AWS CLI:

aws security-ir get-membership --membership-id membership-id

Bestätigen Sie, dass:

Fallbeobachter verstehen

Fallbeobachter sind Interessenvertreter, denen die Möglichkeit gewährt wird, sich einen bestimmten Fall anzusehen. Die wichtigsten Einzelheiten:

Diese fallbezogene Erfassung ist besonders wichtig, wenn externen Parteien wie Managed Detection and Response (MDR) -Partnern oder externen Ermittlungsteams Zugriff gewährt wird, die nur den speziellen Fall sehen sollten, an dem sie beteiligt sind.

Überprüfen Sie die Zustellung der Benachrichtigung anhand eines Testfalls

Der effektivste Weg, den durchgängigen Benachrichtigungsfluss zu validieren, besteht darin, einen reaktiven (selbstverwalteten) Testfall zu erstellen:

Was ist von Fallbenachrichtigungen zu erwarten

Wenn ein Fall erstellt wird (entweder proaktiv vom Service oder reaktiv von Ihrem Team), erhalten alle Mitglieder des konfigurierten Incident-Response-Teams eine E-Mail-Benachrichtigung mit den Falldetails.

Überprüfen Sie EventBridge die Integration (falls konfiguriert)

Wenn Sie so konfiguriert haben EventBridge , dass Fallereignisse an Drittanbieterplattformen (wie ServiceNow Jira, Slack oder PagerDuty) weitergeleitet werden, stellen Sie sicher, dass Ihr Testfall die erwartete Benachrichtigung in diesen Systemen auslöst.

Schritt 5: Überprüfen Sie die Bereitschaft zur Eindämmung (optional)

Wenn Sie die Eindämmung nicht aktiviert haben

Hier gibt es nichts zu überprüfen. Security Incident Response bietet Beratung und Untersuchung bei Sicherheitsereignissen, ergreift jedoch keine automatischen Eindämmungsmaßnahmen, sofern Sie dies nicht ausdrücklich autorisieren.

Wenn Sie die Eindämmung aktiviert haben

Überprüfen Sie den Eindämmungsstatus in der Konsole. Überprüfen Sie, ob Eindämmungsaktionen als Autorisiert angezeigt werden. Zu den unterstützten Eindämmungsaktionen gehören Runbooks für:

Stellen Sie sicher, dass der bereitgestellt CloudFormation StackSet ist. Für die Eindämmung sind IAM-Rollen (AWSSecurityIncidentResponseContainmentundAWSSecurityIncidentResponseContainmentExecution) in Ihren abgedeckten Konten erforderlich. Anweisungen zur Bereitstellung dieser Rollen finden Sie unter. Implementieren Sie Containment- und EC2-Triage-Rollen So überprüfen Sie, ob der bereitgestellt StackSet wird:

Wenn das StackSet nicht bereitgestellt wird, führt die Eindämmungsautorisierung in der Konsole nicht dazu, dass tatsächliche Eindämmungsmaßnahmen ergriffen werden.

Bestätigen Sie Ihre Präferenz für die Eindämmung. Security Incident Response unterstützt drei Sicherheitsstufen:

Um Ihre Präferenz einzureichen oder zu aktualisieren, erstellen Sie einen AWS Support Fall mit dem Falltyp Technisch: Service zur Reaktion auf Sicherheitsvorfälle/Sonstige.

Wenn Sie eine EC2-Triage wünschen: Stellen Sie die Vorlage „Containment with EC2 Triage“ bereit. CloudFormation Auf diese Weise können die Techniker von Security Incident Response mithilfe von Amazon EC2-Instances Ermittlungsdaten sammeln. AWS Systems Manager

Schritt 6: Bestätigen Sie den laufenden Betrieb

Verwenden Sie nach Abschluss der ersten Validierung diese Indikatoren, um zu bestätigen, dass Security Incident Response kontinuierlich wie erwartet funktioniert.

Das Fehlen von Fällen ist normal

Security Incident Response erzeugt nur dann einen proaktiven Fall, wenn die automatische Triage Aktivitäten identifiziert, die eine menschliche Untersuchung rechtfertigen. Stellt die Triage fest, dass ein Befund harmlos ist, wird der Befund archiviert, ohne dass ein Fall erstellt oder Ihr Team kontaktiert werden muss. Eine Bereitstellung ohne offene Fälle und mit einem konsistenten Fluss archivierter GuardDuty Ergebnisse funktioniert wie vorgesehen.

Wenn Sie keine Fälle und keine archivierten Ergebnisse sehen, nachdem Ihre Umgebung mehrere Tage lang aktiv war, ist die Pipeline möglicherweise nicht verbunden. Überprüfen Sie die Schritte 2 und 3.

Archivierte Befunde und Unterdrückungsregeln als Gesundheitssignale

Da Security Incident Response die Ergebnisse im Laufe der Zeit verarbeitet, entstehen zwei beobachtbare Artefakte:

Ihr Incident-Response-Team wird benachrichtigt, wenn eine Unterdrückungsregel erstellt wird. Wenn eine Regel irrtümlich erstellt wurde, wenden Sie sich an uns, AWS Support um ein Rollback zu beantragen. Archivierte Ergebnisse werden 90 Tage lang aufbewahrt. GuardDuty

Monatlicher Aktivitätsbericht

Security Incident Response sendet einen monatlichen Aktivitätsbericht an Ihr Incident-Response-Team, in dem die verarbeiteten Ergebnisse, die Ergebnisse der Triage und alle offenen Fälle zusammengefasst sind. Wenn Ihr Team nach Ihrem ersten vollen Kalendermonat noch keinen Bericht erhalten hat, stellen Sie sicher, dass die Mitglieder des Incident-Response-Teams die Kommunikation aktiviert haben. Bei allen anderen Problemen im Zusammenhang mit dem monatlichen Bericht wenden Sie sich an Ihr Account-Team oder eröffnen Sie eine Support-Anfrage mit dem Falltyp: Technisch: Security Incident Response Service/Sonstige und geben Sie die folgenden Informationen an:

Was können Sie von den Security Incident Response-Technikern erwarten

Wenn Sie einen Fall erstellen, der AWS unterstützt wird oder der Service proaktiv einen Fall erstellt, bestätigen die Security Incident Response-Techniker neue Fälle innerhalb von 15 Minuten. Dieses AWS 15-Minuten-Bestätigungs-SLO gilt für alle unterstützten Falltypen, sowohl für aktive Sicherheitsereignisse als auch für Untersuchungen. Die erste Bestätigung bestätigt, dass Ihr Fall geprüft wird. Der vollständige Zeitplan für die Bewertung kann je nach Schwere und Komplexität des Falls variieren.

Bei proaktiven Fällen (die automatisch erstellt werden, wenn der Triage-Service ein bestätigtes Sicherheitsproblem identifiziert), erstellt der Service den Fall, nachdem die automatische Triage das Problem bestätigt hat, und Ihr Incident-Response-Team wird benachrichtigt, sobald der Fall geöffnet wird.

Checkliste für die Validierung

Verwenden Sie diese Checkliste, um zu bestätigen, dass Ihre Konfiguration abgeschlossen ist:

Überprüfung der Abrechnung

Enterprise Support- und Unified Operations-Kunden: Security Incident Response ist ohne zusätzliche Kosten als Teil Ihres Supportplans enthalten. Im Cost Explorer oder im AWS Kosten- und Nutzungsbericht werden Ihnen keine Gebühren für Security Incident Response angezeigt. AWS

Alle anderen Kunden: Die Preisgestaltung basiert auf der Anzahl der erfassten Sicherheitserkenntnisse. Die ersten 10.000 Sicherheitslücken pro Monat sind kostenlos. Weitere Details finden Sie unter AWS Security Incident Response -Preise.

Fehlerbehebung

Zugehörige Ressourcen