Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
Onboarding-Voraussetzungen
Die einzige erforderliche Voraussetzung ist die Aktivierung AWS Organizations mit aktiviertem Alle Funktionen. Eine konsolidierte Abrechnung allein reicht nicht aus.
Anmerkung
Der AWS Identity and Access Management (IAM-) Principal, der während der Aktivierung für die Anmeldung am delegierten Administratorkonto verwendet wurde, muss über Berechtigungen verfügen. AdministratorAccess Ohne diese Berechtigungen schlägt der Aktivierungsvorgang fehl.
Erkennungsservices
Obwohl dies nicht erforderlich ist, empfehlen wir dringend, Amazon GuardDuty und für alle Konten sowie AWS Security Hub CSPM für aktive Konten zu aktivieren. AWS-Regionen Diese Erkennungsdienste liefern das Signal, das in Ihrem Namen AWS Security Incident Response überwacht wird. Ohne sie gibt es keine Ergebnisse, die erfasst werden könnten, und keine Daten, die proaktiv geprüft werden könnten. Es liegt dann in Ihrer Verantwortung, Probleme zu erkennen und sie in einem Fall zur Sprache zu bringen. Darüber hinaus sind die Möglichkeiten zur Untersuchung und Unterstützung erheblich eingeschränkt, wenn Sie keine Daten über das Erkennungstool benötigen, da diese Tools unerlässlich sind, um zu verstehen, was in Ihren Konten vor sich geht.
Wir empfehlen außerdem dringend, die AWS CloudTrail Protokollierung für alle Konten zu aktivieren. Bei Untersuchungen stützt sich das Security Incident Response Engineering-Team auf CloudTrail Daten, um Aktivitäten zu analysieren, Aktionen nachzuverfolgen und ungewöhnliche Muster in Ihren Konten zu identifizieren. Ohne verfügbare CloudTrail Protokolle ist die Möglichkeit, gründliche Untersuchungen durchzuführen, begrenzt.
Sie müssen unseren Security Hub CSPM vor der Aktivierung nicht aktivieren GuardDuty . AWS Security Incident Response Sie können diese Erkennungsdienste jederzeit nach dem Onboarding aktivieren und mit der Erfassung der Ergebnisse AWS Security Incident Response beginnen, sobald sie verfügbar sind.
Anmerkung
AWS Security Incident Response prüft nur die Ergebnisse der Bedrohungserkennung. Erkenntnisse zum Sicherheitsstatus oder zur Einhaltung gesetzlicher Vorschriften (z. B. Warnmeldungen bei Fehlkonfigurationen oder Verstöße gegen Benchmarks) werden nicht geprüft, da sie eher einen Zustand Ihrer Umgebung als eine aktive Bedrohung darstellen, die untersucht werden muss.
GuardDuty und AWS Security Incident Response
Wir empfehlen die Aktivierung GuardDuty in allen Konten und allen AWS-Regionen, auch in Regionen, in denen Sie keine aktiven Workloads haben. Angreifer nehmen häufig ungenutzte Regionen und inaktive Konten ins Visier, um teure Ressourcen hochzufahren oder sich unentdeckt seitlichen Zugriff zu verschaffen. Ein weit verbreitetes Missverständnis ist, dass Sie nur die Regionen und Produktionskonten überwachen müssen, die Sie aktiv nutzen. Dies ist jedoch ein wichtiger Vektor, den Angreifer ausnutzen.
GuardDuty fallen in Regionen ohne Aktivität keine Gebühren an. Wenn Sie es also überall aktivieren, fallen in Regionen, in denen es nicht aktiv ist, keine zusätzlichen Kosten an. Wenn es in einer ungenutzten Region zu unautorisierten Aktivitäten kommt, ist GuardDuty das sofort sichtbar, sodass Sie in Ihrem Namen handeln können.
Informationen zur GuardDuty unternehmensweiten Aktivierung finden Sie unter Einrichtung GuardDuty.
Third-party Integration
Sie müssen die Security Hub CSPM-Standards oder -Kontrollen für nicht aktivieren. AWS Security Incident Response Security Hub CSPM wird nur als Kanal für die Erfassung von Erkenntnissen von Drittanbietern von Endpoint Detection and Response (EDR) verwendet. Die Kontrollen und Standards sind aus dieser AWS Security Incident Response Sicht optional, Sie können sie jedoch aktiviert lassen, wenn sie für Ihre eigenen Compliance- und Statusmanagement-Anforderungen von Nutzen sind.
Wenn Erkenntnisse von Drittanbietern über Security Hub CSPM erfasst werden, werden diese AWS Security Incident Response automatisch geprüft, um eine proaktive Fallerstellung zu ermöglichen. Um eine EDR-Integration eines Drittanbieters einzurichten, folgen Sie den Schritten in der Dokumentation zur Security Hub CSPM-Integration.
Informationen zu unterstützten Tools von Drittanbietern finden Sie unter Erkennen und Analysieren. Wenn Ihr Drittanbieter-Tool in Security Hub CSPM integriert ist, aber nicht aufgeführt ist, AWS Security Incident Response können Sie diese Ergebnisse trotzdem nach bestem Wissen erfassen, während der Support evaluiert wird. Um den Support für zusätzliche Tools zu besprechen, öffnen Sie eine Anfrage oder wenden Sie sich an Ihren AWS Support TAM.
Ergebnisse, die vor dem Onboarding erstellt wurden
Wichtig
AWS Security Incident Response kann nur Ergebnisse aufnehmen, die nach Abschluss des Onboardings generiert wurden. Ergebnisse, die vor der Aktivierung erstellt wurden, werden nicht rückwirkend aufgenommen. Wenn Sie bereits Ergebnisse haben, die Sie untersuchen möchten, stellen Sie diese nach Abschluss des Onboardings in einem Fall zur Sprache.
