Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

SEC04-BP03 Corréler et enrichir les alertes de sécurité

Les activités inattendues peuvent générer plusieurs alertes de sécurité provenant de différentes sources, ce qui nécessite une corrélation et un enrichissement supplémentaires pour comprendre le contexte complet. Mettez en œuvre une corrélation et un enrichissement automatisés des alertes de sécurité afin de permettre une identification et une réponse plus précises aux incidents.

Résultat souhaité : au fur et à mesure que l’activité génère différentes alertes au sein de vos charges de travail et de vos environnements, des mécanismes automatisés mettent en corrélation les données et les enrichissent avec des informations supplémentaires. Ce prétraitement permet de mieux comprendre l’événement, ce qui aide vos enquêteurs à déterminer sa criticité et s’il s’agit d’un incident qui requiert une réponse officielle. Ce processus réduit la charge de travail de vos équipes de surveillance et d’enquête.

Anti-modèles courants :

Avantages du respect de cette bonne pratique : la corrélation et l’enrichissement automatisés des alertes contribuent à réduire la charge cognitive globale et la préparation manuelle des données requises par vos enquêteurs. Cette pratique permet de réduire le temps nécessaire pour déterminer si l’événement représente un incident et lancer une réponse officielle. Un contexte supplémentaire vous permet également d’évaluer avec précision la gravité réelle d’un événement, car celle-ci peut être supérieure ou inférieure à ce que suggère une alerte.

Niveau d’exposition au risque si cette bonne pratique n’est pas respectée : faible 

Directives d’implémentation

Les alertes de sécurité peuvent provenir de nombreuses sources internes AWS, notamment :

Dans leur forme la plus fondamentale, les alertes contiennent des informations sur qui (le principal ou l’identité) fait quoi (les mesures prises) à quoi (les ressources concernées). Pour chacune de ces sources, déterminez s’il existe des moyens de créer des mappages entre les identifiants de ces identités, actions et ressources afin d’effectuer une corrélation. Cela peut prendre la forme d'intégrer des sources d'alerte à un outil de gestion des informations et des événements de sécurité (SIEM) pour effectuer une corrélation automatique pour vous, de créer vos propres pipelines de données et de traitement, ou d'une combinaison des deux.

Amazon Detective est un exemple de service capable d’effectuer une corrélation pour vous. Detective procède à l'ingestion continue d'alertes provenant de sources diverses AWS et tierces et utilise différentes formes de renseignement pour établir un graphique visuel de leurs relations afin de faciliter les enquêtes.

Alors que la criticité initiale d’une alerte facilite l’établissement des priorités, le contexte dans lequel l’alerte s’est produite détermine sa véritable criticité. Par exemple, Amazon GuardDuty peut vous avertir qu'une EC2 instance Amazon de votre charge de travail demande un nom de domaine inattendu. GuardDuty pourrait attribuer à elle seule une faible criticité à cette alerte. Cependant, une corrélation automatique avec d'autres activités au moment de l'alerte peut révéler que plusieurs centaines d'EC2instances ont été déployées sous la même identité, ce qui augmente les coûts d'exploitation globaux. Dans ce cas, GuardDuty vous pourriez publier ce contexte d'événement corrélé sous la forme d'une nouvelle alerte de sécurité et ajuster la criticité à un niveau élevé, ce qui accélérerait la prise de mesures supplémentaires.

Étapes d’implémentation

Ressources

Bonnes pratiques associées :

Documents connexes :

Exemples connexes :

Outils associés :