AWS Respuesta a incidentes de seguridad y AWS Organizations - AWS Organizations
Roles vinculados a serviciosEntidades principales del servicioHabilitar el acceso de confianzaDeshabilitar el acceso de confianzaHabilitar un administrador delegadoInhabilitar a un administrador delegado para la respuesta a incidentes de seguridad

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

AWS Respuesta a incidentes de seguridad y AWS Organizations

AWS Security Incident Response es un servicio de seguridad que brinda asistencia en vivo y asistida por personas las 24 horas del día, los 7 días de la semana, para ayudar a los clientes a responder rápidamente a los incidentes de ciberseguridad, como el robo de credenciales Al integrarse con Organizations, habilita la cobertura de seguridad para toda su organización. Para obtener más información, consulte Gestión de las cuentas AWS de respuesta a incidentes de seguridad AWS Organizations en la Guía del usuario de respuesta a incidentes de seguridad.

Utilice la siguiente información para ayudarle a integrar AWS Security Incident Response con AWS Organizations.

Roles vinculados al servicio creados al habilitar la integración

Los siguientes roles vinculados al servicio se crean automáticamente en la cuenta de administración de su organización cuando habilita el acceso de confianza.

  • AWSServiceRoleForSecurityIncidentResponse- se utiliza para crear la membresía de Security Incident Response: su suscripción al servicio a través de AWS Organizations.

  • AWSServiceRoleForSecurityIncidentResponse_Triage- se utiliza únicamente cuando se activa la función de clasificación durante el registro.

Principios de servicio utilizados por Security Incident Response

Las funciones vinculadas al servicio de la sección anterior solo las pueden asumir los directores de servicio autorizados por las relaciones de confianza definidas para el rol. Las funciones vinculadas al servicio que utiliza Security Incident Response permiten el acceso al siguiente director de servicio:

  • security-ir.amazonaws.com

Permitir un acceso confiable a la respuesta a incidentes de seguridad

Al habilitar un acceso confiable a la respuesta a incidentes de seguridad, el servicio puede realizar un seguimiento de la estructura de su organización y garantizar que todas las cuentas de la organización cuenten con una cobertura activa contra los incidentes de seguridad. También permite que el servicio utilice un rol vinculado al servicio en las cuentas de los miembros para las funciones de clasificación cuando se habilita la función de clasificación.

Para obtener información acerca de los permisos necesarios para habilitar el acceso de confianza, consulte Permisos necesarios para habilitar el acceso de confianza.

Puede habilitar el acceso confiable mediante la consola de respuesta a incidentes de AWS seguridad o la consola. AWS Organizations

importante

Recomendamos encarecidamente que, siempre que sea posible, utilice la consola o las herramientas de AWS Security Incident Response para permitir la integración con Organizations. Esto permite a AWS Security Incident Response realizar cualquier configuración que necesite, como la creación de los recursos que necesite el servicio. Siga estos pasos solo si no puede habilitar la integración con las herramientas que proporciona AWS Security Incident Response. Para obtener más información, consulte esta nota.

Si habilita el acceso confiable mediante la consola o las herramientas de respuesta a incidentes de AWS seguridad, no necesitará completar estos pasos.

Organizations habilita automáticamente el acceso confiable de la organización cuando utiliza la consola de respuesta a incidentes de seguridad para la configuración y la administración. Si utiliza la respuesta a incidentes CLI de seguridadSDK, debe habilitar manualmente el acceso confiable mediante el nableAWSServiceacceso electrónico API. Para obtener información sobre cómo habilitar el acceso confiable a través de la consola de respuesta a incidentes de seguridad, consulte Habilitar el acceso confiable para la administración de AWS cuentas en la Guía del usuario de respuesta a incidentes de seguridad.

Puede habilitar el acceso confiable mediante la AWS Organizations consola, ejecutando un AWS CLI comando o llamando a una API operación desde una de las AWS SDKs.

AWS Management Console
Para habilitar el acceso de confianza mediante la consola de Organizations

  1. Inicie sesión en la consola de AWS Organizations. Debe iniciar sesión como IAM usuario, asumir un IAM rol o iniciar sesión como usuario raíz (no se recomienda) en la cuenta de administración de la organización.

  2. En el panel de navegación, elija Servicios.

  3. Seleccione Respuesta a incidentes de AWS seguridad en la lista de servicios.

  4. Elija Habilitar acceso de confianza.

  5. En el cuadro de diálogo Habilitar el acceso de confianza para la respuesta a incidentes de AWS seguridad, escriba habilitar para confirmar y, a continuación, elija Habilitar el acceso de confianza.

  6. Si es el administrador de Only AWS Organizations, dígale al administrador de AWS Security Incident Response que ahora puede habilitar el funcionamiento de ese servicio AWS Organizations desde la consola de servicio.

AWS CLI, AWS API
Para habilitar el acceso a servicios confiables mediante OrganizationsCLI/SDK

Utilice los siguientes AWS CLI comandos u API operaciones para habilitar el acceso a los servicios de confianza:

  • AWS CLI: enable-aws-service-access

    Ejecute el siguiente comando para habilitar AWS Security Incident Response como un servicio de confianza en Organizations.

    $ aws organizations enable-aws-service-access \ 
    --service-principal security-ir.amazonaws.com

    Este comando no genera ninguna salida si se realiza correctamente.

  • AWS API: E nableAWSService Access

Inhabilitar el acceso de confianza con la respuesta a incidentes de seguridad

Solo un administrador de la cuenta de administración de Organizations puede deshabilitar el acceso de confianza con Security Incident Response.

Solo puede deshabilitar el acceso de confianza mediante las herramientas de Organizations.

Puede deshabilitar el acceso de confianza mediante la AWS Organizations consola, ejecutando un AWS CLI comando de Organizations o llamando a una API operación de Organizations en uno de los AWS SDKs.

AWS Management Console
Para deshabilitar el acceso de confianza mediante la consola de Organizations

  1. Inicie sesión en la consola de AWS Organizations. Debe iniciar sesión como IAM usuario, asumir un IAM rol o iniciar sesión como usuario raíz (no se recomienda) en la cuenta de administración de la organización.

  2. En el panel de navegación, elija Servicios.

  3. Seleccione Respuesta a incidentes de AWS seguridad en la lista de servicios.

  4. Seleccione Deshabilitar el acceso de confianza.

  5. En el cuadro de diálogo Deshabilitar el acceso de confianza para la respuesta a incidentes de AWS seguridad, escriba deshabilitar para confirmar y, a continuación, elija Inhabilitar el acceso de confianza.

  6. Si solo es el administrador de Security Incident Response AWS Organizations, dígale al administrador de AWS Security Incident Response que ahora puede deshabilitar el funcionamiento de ese servicio AWS Organizations mediante la consola de servicio o las herramientas.

AWS CLI, AWS API
Para deshabilitar el acceso a servicios de confianza mediante OrganizationsCLI/SDK

Puede utilizar los siguientes AWS CLI comandos u API operaciones para deshabilitar el acceso a los servicios de confianza:

  • AWS CLI: disable-aws-service-access

    Ejecute el siguiente comando para deshabilitar AWS Security Incident Response como un servicio de confianza en Organizations.

    $ aws organizations disable-aws-service-access \
    --service-principal security-ir.amazonaws.com

    Este comando no genera ninguna salida si se realiza correctamente.

  • AWS API: isableAWSServiceAcceso 3D

Habilitar una cuenta de administrador delegado para la respuesta a incidentes de seguridad

Al designar una cuenta de miembro como administrador delegado de la organización, los usuarios y las funciones de esa cuenta pueden realizar acciones administrativas de respuesta a los incidentes de seguridad que, de otro modo, solo podrían realizar los usuarios o los roles de la cuenta de administración de la organización. Esto le ayuda a separar la gestión de la organización de la gestión de la respuesta a incidentes de seguridad. Para obtener más información, consulte Gestión de las cuentas AWS de respuesta a incidentes de seguridad AWS Organizations en la Guía del usuario de respuesta a incidentes de seguridad.

Permisos mínimos

Solo un usuario o rol de la cuenta de administración de Organizations puede configurar una cuenta de miembro como administrador delegado para la respuesta a incidentes de seguridad en la organización.

Para obtener información sobre cómo configurar un administrador delegado a través de la consola de respuesta a incidentes de seguridad, consulte Designación de una cuenta de administrador de respuesta a incidentes de seguridad delegada en la Guía del usuario de respuesta a incidentes de seguridad.

AWS CLI, AWS API

Si desea configurar una cuenta de administrador delegado mediante una AWS CLI o una de las AWS SDKs, puede utilizar los siguientes comandos:

  • AWS CLI: 

    $ aws organizations register-delegated-administrator \
    --account-id 123456789012 \
    --service-principal security-ir.amazonaws.com

  • AWS SDK: Llame a la RegisterDelegatedAdministrator operación de la organización y al número de identificación de la cuenta del miembro e identifique el servicio de la cuenta security-ir.amazonaws.com como parámetros.

Inhabilitar a un administrador delegado para la respuesta a incidentes de seguridad

importante

Si la membresía se creó desde la cuenta del administrador delegado, anular el registro del administrador delegado es una acción destructiva y provocará una interrupción del servicio. Para volver a registrar DA:

  1. Inicie sesión en la consola de respuesta a incidentes de seguridad en https://console.aws.amazon.com/security-ir/ home#/membership/settings

  2. Cancela la suscripción desde la consola de servicio. La membresía permanece activa hasta el final del ciclo de facturación.

  3. Una vez cancelada la membresía, deshabilite el acceso al servicio a través de la consola de Organizations, CLI oSDK.

Solo un administrador de la cuenta de administración de Organizations puede eliminar a un administrador delegado para Security Incident Response. Puede eliminar el administrador delegado mediante Organizations DeregisterDelegatedAdministrator CLI o la SDK operación.