Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Validierung Ihres AWS Security Incident Response configuration

Nachdem Sie das Onboarding abgeschlossen haben, können Sie überprüfen, ob Registrierung, Erkennungsquellen, AWS Identity and Access Management (IAM) -Berechtigungen, Beschränkung und Benachrichtigungen korrekt konfiguriert sind, bevor ein echtes Sicherheitsereignis eintritt. In diesem Abschnitt werden schrittweise Überprüfungsverfahren sowohl mit der AWS Management Console als auch mit der AWS CLI beschrieben.

Bevor Sie validieren

Voraussetzungen für die Validierung Ihrer Security Incident Response-Konfiguration

Um diese Validierungsschritte abzuschließen, stellen Sie sicher, dass Sie über die folgenden Voraussetzungen verfügen:

Bestätigen Sie die Bereitschaft zum Protokoll

AWS Security Incident Response aktiviert keine Protokollquellen in Ihrem Namen. Bei einer Untersuchung verlassen sich die Techniker auf Protokolle, die in Ihrer Umgebung bereits vorhanden sind. Stellen Sie vor der Validierung Ihres Setups sicher, dass die folgenden Protokolle für alle betroffenen Konten aktiviert sind und AWS-Regionen. Ohne diese Protokolle haben die Security Incident Response-Techniker bei Untersuchungen nur einen eingeschränkten Einblick. Aktivieren Sie sie, bevor Sie fortfahren.

Verify GuardDuty ist aktiviert

Verwenden Sie den folgenden Befehl, um zu überprüfen, ob Amazon in Ihren Konten aktiv GuardDuty ist:

aws guardduty list-detectors

Eine Antwort, die nicht leer GuardDuty ist, bestätigt, dass die aktuelle AWS-Region Version aktiviert ist. Wiederholen Sie diesen Schritt für jede aktive Region, oder überprüfen Sie dies in Ihrer gesamten Organisation über das GuardDuty delegierte Administratorkonto.

Schritt 1: Überprüfen Sie die Registrierung und Mitgliedschaft

Verwendung der AWS Security Incident Response Konsole

Verwendung der AWS CLI

Führen Sie den folgenden Befehl von Ihrem delegierten Administratorkonto aus:

aws security-ir list-memberships

Der vorherige Befehl gibt Ihre Mitglieds-ID und Ihren Status zurück.

Führen Sie den folgenden Befehl aus, um die vollständigen Mitgliedschaftsdetails einschließlich der Konfiguration Ihres Incident Response Teams abzurufen:

aws security-ir get-membership --membership-id membership-id

Verwenden Sie die Befehlsausgabe, um die folgenden Informationen zu überprüfen.

Überprüfen Sie den delegierten Administrator

Führen Sie den folgenden Befehl aus, um zu überprüfen, ob das richtige Konto als delegierter Administrator für Security Incident Response registriert ist:

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

Schritt 2: Überprüfen Sie die Erkennungsquellen und die Triage

AWS Security Incident Response überwacht Sicherheitsergebnisse von Tools GuardDuty und Tools von Drittanbietern über Security Hub CSPM. Der Service verwendet eine serviceverknüpfte Rolle, um Erkenntnisse aus den EventBridge Amazon-Regeln zu erfassen, die während des Onboardings auf Ihre Konten angewendet wurden.

Überprüfen Sie die dienstbezogene Triage-Rolle

Die AWSServiceRoleForSecurityIncidentResponse_Triage dienstverknüpfte Rolle muss in Ihrem Verwaltungskonto und allen Mitgliedskonten im Geltungsbereich vorhanden sein.

Führen Sie zur Überprüfung den folgenden Befehl in den Verwaltungskonten und den Mitgliedskonten im Gültigkeitsbereich aus:

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

Eine erfolgreiche Antwort bestätigt, dass die Rolle existiert. Wenn Sie eine NoSuchEntity Fehlermeldung erhalten, gehen Sie wie folgt vor:

Überprüfen Sie die primäre, mit dem Dienst verknüpfte Rolle

Die AWSServiceRoleForSecurityIncidentResponse Rolle sollte auch in Ihrem delegierten Administratorkonto vorhanden sein. Führen Sie den folgenden Befehl aus, um zu überprüfen, ob die Rolle existiert:

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

Überprüfen Sie die proaktive Reaktion und EventBridge die Regeln

Vergewissern Sie sich in der AWS Security Incident Response Konsole, dass Proactive Response als aktiviert angezeigt wird. Wenn dieser Dienst aktiviert ist, führt er Folgendes aus:

Stellen Sie sicher, dass EventBridge Regeln in Mitgliedskonten implementiert sind

Gehen Sie wie folgt vor, um zu überprüfen, ob EventBridge Regeln in Mitgliedskonten implementiert sind.

Wenn die Regeln fehlen, führen Sie die Einrichtung der proaktiven Reaktion erneut von der Security Incident Response-Konsole aus oder wenden Sie sich an uns AWS Support.

Überprüfen Sie Integrationen von Drittanbietern (falls zutreffend)

Wenn Sie Erkennungstools von Drittanbietern (wie CrowdStrike Falcon, Trend Micro Cloud One oder Fortinet Lacework FortiCNApp) verwenden, stellen Sie sicher, dass deren Ergebnisse über Security Hub CSPM übertragen werden:

Schritt 3: Überprüfen Sie die automatische Suchpipeline

In diesem Schritt wird bestätigt, dass die EventBridge Pipeline aktiv ist und die Ergebnisse einer automatisierten Triage unterzogen werden.

Über GuardDuty Stichprobenergebnisse

GuardDutyDie integrierte Funktion „Stichprobenergebnisse generieren“ erzeugt Ergebnisse, die als Stichproben gekennzeichnet sind. Die automatische Triage filtert Stichprobenergebnisse, um Störungen zu vermeiden. Sie durchlaufen nicht die gesamte Triage-Pipeline und können nicht zur Validierung Ihrer Konfiguration für die Reaktion auf Sicherheitsvorfälle verwendet werden. Verwenden Sie sie nicht für diesen Schritt.

Validieren Sie mit der GuardDuty Testdomäne

Die GuardDuty Dokumentation enthält eine Testdomäne (guarddutyc2activityb.com), die ein echtes Ergebnis generiert, ohne dass reale Sicherheitsereignisse erforderlich sind. Die Abfrage dieser Domain von einer Amazon EC2 EC2-Instance in einem geschützten Konto führt zu einem Ergebnis, das Security Incident Response aufnimmt und verarbeitet.

Um ein Testergebnis zu generieren:

Was ist zu erwarten:

Schritt 4: Überprüfen Sie die Benachrichtigungen und das Team für die Reaktion auf Vorfälle

Überprüfen Sie Ihr Incident-Response-Team

Überprüfen Sie in der Security Incident Response-Konsole Ihre konfigurierten Mitglieder des Incident Response-Teams. Jedes Mitglied erhält sofort E-Mail-Benachrichtigungen, wenn ein Fall erstellt wird.

Oder führen Sie den folgenden Befehl aus, um dies mit dem zu überprüfen AWS CLI:

aws security-ir get-membership --membership-id membership-id

Bestätigen Sie, dass:

Fallbeobachter verstehen

Fallbeobachter sind Interessenvertreter, denen Zugang zu einem bestimmten Fall gewährt wird. Die wichtigsten Einzelheiten:

Diese fallspezifische Festlegung ist besonders wichtig, wenn externen Parteien wie Managed Detection and Response (MDR) -Partnern oder externen Ermittlungsteams Zugriff gewährt wird, die nur den speziellen Fall sehen sollen, an dem sie beteiligt sind.

Überprüfen Sie die Zustellung der Benachrichtigung anhand eines Testfalls

Die effektivste Methode zur Validierung des durchgängigen Benachrichtigungsflusses besteht darin, einen reaktiven (selbstverwalteten) Testfall zu erstellen:

Was können Sie von Fallbenachrichtigungen erwarten

Wenn ein Fall erstellt wird (entweder proaktiv durch den Service oder reaktiv durch Ihr Team), erhalten alle konfigurierten Mitglieder des Incident-Response-Teams eine E-Mail-Benachrichtigung mit den Falldetails.

Überprüfen Sie EventBridge die Integration (falls konfiguriert)

Wenn du so konfiguriert hast EventBridge , dass Fallereignisse an Plattformen von Drittanbietern (wie Jira ServiceNow, Slack oder PagerDuty) weitergeleitet werden, vergewissere dich, dass dein Testfall die erwartete Benachrichtigung in diesen Systemen auslöst.

Schritt 5: Überprüfen Sie, ob das Containment bereit ist (optional)

Wenn Sie Containment nicht aktiviert haben

Hier gibt es nichts zu validieren. Security Incident Response bietet Beratung und Untersuchung bei Sicherheitsereignissen, ergreift jedoch keine automatisierten Eindämmungsmaßnahmen, sofern Sie dies nicht ausdrücklich autorisieren.

Wenn Sie Containment aktiviert haben

Überprüfen Sie den Containment-Status in der Konsole. Überprüfen Sie, ob Eindämmungsaktionen als Autorisiert angezeigt werden. Zu den unterstützten Eindämmungsaktionen gehören Runbooks für:

Stellen Sie sicher, dass das bereitgestellt CloudFormation StackSet ist. Containment erfordert IAM-Rollen (AWSSecurityIncidentResponseContainmentundAWSSecurityIncidentResponseContainmentExecution) in Ihren geschützten Konten:

Wenn das StackSet nicht bereitgestellt wird, führt die Containment-Autorisierung in der Konsole nicht dazu, dass tatsächliche Eindämmungsmaßnahmen ergriffen werden.

Bestätigen Sie Ihre Präferenz für die Eindämmung. Security Incident Response unterstützt drei Eindämmungsebenen:

Um Ihre Präferenz einzureichen oder zu aktualisieren, erstellen Sie einen AWS Support Fall mit dem Falltyp Technisch: Service zur Reaktion auf Sicherheitsvorfälle /Sonstige.

Wenn Sie EC2 Triage wünschen: Stellen Sie die Vorlage Containment with EC2 Triage bereit. CloudFormation Auf diese Weise können Security Incident Response-Techniker Ermittlungsdaten von Amazon EC2 EC2-Instances mithilfe von sammeln. AWS Systems Manager

Schritt 6: Bestätigen Sie den laufenden Betrieb

Verwenden Sie nach Abschluss der ersten Validierung diese Indikatoren, um zu bestätigen, dass Security Incident Response kontinuierlich wie erwartet funktioniert.

Das Fehlen von Fällen ist normal

Security Incident Response führt nur dann zu einem proaktiven Fall, wenn die automatische Triage Aktivitäten identifiziert, die eine menschliche Untersuchung rechtfertigen. Wenn die Triage feststellt, dass ein Ergebnis harmlos ist, wird das Ergebnis archiviert, ohne einen Fall zu erstellen oder Ihr Team zu kontaktieren. Eine Bereitstellung ohne offene Fälle und mit einem konsistenten Fluss archivierter GuardDuty Ergebnisse funktioniert wie vorgesehen.

Wenn Sie keine Fälle und keine archivierten Ergebnisse sehen, nachdem Ihre Umgebung mehrere Tage aktiv war, ist die Pipeline möglicherweise nicht verbunden. Überprüfen Sie die Schritte 2 und 3.

Archivierte Ergebnisse und Regeln zur Unterdrückung als Gesundheitssignale

Wenn Security Incident Response die Ergebnisse im Laufe der Zeit verarbeitet, entstehen zwei beobachtbare Artefakte:

Ihr Incident-Response-Team wird benachrichtigt, wenn eine Unterdrückungsregel erstellt wird. Wenn eine Regel irrtümlich erstellt wurde, wenden Sie sich an uns, AWS Support um ein Rollback zu beantragen. Archivierte Ergebnisse werden 90 Tage lang aufbewahrt. GuardDuty

Monatlicher Tätigkeitsbericht

Security Incident Response sendet einen monatlichen Aktivitätsbericht an Ihr Incident-Response-Team, in dem die verarbeiteten Ergebnisse, die Ergebnisse der Triage und alle eingeleiteten Fälle zusammengefasst werden. Wenn Ihr Team nach dem ersten vollen Kalendermonat noch keinen Bericht erhalten hat, stellen Sie sicher, dass die Mitglieder des Incident-Response-Teams die Kommunikation aktiviert haben. Bei allen anderen Problemen im Zusammenhang mit dem Monatsbericht wenden Sie sich an Ihr Account-Team oder eröffnen Sie einen Support-Fall mit dem Falltyp: Technisch: Security Incident Response Service/Sonstige und geben Sie die folgenden Informationen an:

Was können Sie von Security Incident Response-Technikern erwarten

Wenn Sie einen Fall erstellen, der AWS unterstützt wird, oder wenn der Service proaktiv einen erstellt, bestätigen die Security Incident Response-Techniker neue Fälle innerhalb von 15 Minuten. Diese 15-minütige Bestätigung gilt für alle Falltypen, die AWS unterstützt werden, sowohl für aktive Sicherheitsereignisse als auch für Untersuchungen. Die erste Bestätigung bestätigt, dass Ihr Fall geprüft wird. Der vollständige Zeitplan für die Prüfung kann je nach Schweregrad und Komplexität des Falls variieren.

Bei proaktiven Fällen (automatisch erstellt, wenn der Triage-Service ein bestätigtes Sicherheitsproblem identifiziert) erstellt der Service den Fall, nachdem die automatische Triage das Problem bestätigt hat, und Ihr Incident-Response-Team wird benachrichtigt, wenn der Fall geöffnet wird.

Checkliste für die Validierung

Verwenden Sie diese Checkliste, um zu bestätigen, dass Ihre Konfiguration abgeschlossen ist:

Überprüfung der Abrechnung

Kunden mit Enterprise Support und Unified Operations: Security Incident Response ist ohne zusätzliche Kosten in Ihrem Supportplan enthalten. Im Cost Explorer oder im AWS Kosten- und Nutzungsbericht werden Ihnen keine Gebühren für die AWS Reaktion auf Sicherheitsvorfälle angezeigt.

Alle anderen Kunden: Die Preisgestaltung richtet sich nach der Anzahl der erfassten Sicherheitslücken. Die ersten 10.000 Ergebnisse pro Monat sind kostenlos. Weitere Details finden Sie unter AWS Security Incident Response -Preise.

Fehlerbehebung

Zugehörige Ressourcen