# 封じ込め
<a name="contain"></a>

AWS セキュリティインシデント対応は、ユーザーと協力してイベントを封じ込めます。セキュリティの検出結果に応じて、アカウントでプロアクティブ封じ込めアクションを実行するようにサービスを設定できます。[サポートされている封じ込めアクション](https://docs.aws.amazon.com/security-ir/latest/userguide/supported-containment-actions.html) に記載されている [SSM ドキュメント](https://docs.aws.amazon.com/systems-manager-automation-runbooks/latest/userguide/automation-runbook-reference.html) を使用して、ユーザー自身で、またはサードパーティーと協力して封じ込めを実行することもできます。

**重要**  
 AWS セキュリティインシデント対応では、デフォルトでは封じ込め機能は有効になりません。  
 プロアクティブ封じ込め機能を有効にするには、次の 2 つのステップが必要です:   
IAM ロールを使用して、サービスに **必要なアクセス許可を付与する**。これらのロールは、必要なロールを作成する AWS CloudFormation スタックセットを使用して、アカウントごと、または組織全体で個別に作成できます。
アカウントごと、またはユーザーの組織全体で**封じ込め設定を定義**して、プロアクティブ封じ込めアクションを承認します。アカウントレベルの設定は、組織レベルの設定よりも優先されます。AWS サポートケース (技術: セキュリティインシデント対応サービス/その他) を作成して、これを行うことができます。使用可能な封じ込め設定は次のとおりです:  
**承認が必要 (デフォルト):** ケースバイケースで、明示的な承認なしにリソースのプロアクティブ封じ込めを実行しない。
**確認されたものを封じ込める:** 侵害されたことが確認されているリソースのプロアクティブ封じ込めを実行する。
**疑わしいものを封じ込める:** AWS セキュリティインシデント対応エンジニアリングによって実行された分析に基づいて、侵害された可能性が高いリソースのプロアクティブ封じ込めを実行する。