As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.
AWS Resposta a incidentes de segurança e AWS Organizations
AWS O Security Incident Response é um serviço de segurança que fornece 24/7 suporte a incidentes de segurança ao vivo e assistido por humanos para ajudar os clientes a responder rapidamente a incidentes de cibersegurança, como roubo de credenciais e ataques de ransomware. Ao se integrar ao Organizations, você habilita a cobertura de segurança para toda a sua organização. Para obter mais informações, consulte Gerenciando contas de resposta a incidentes de AWS segurança com AWS Organizations o Guia do usuário do Security Incident Response.
Use as informações a seguir para ajudá-lo a integrar o AWS Security Incident Response com AWS Organizations.
Service-linked funções criadas quando você ativa a integração
As funções vinculadas ao serviço a seguir são criadas automaticamente na conta gerencial de sua organização quando você habilita o acesso confiável.
-
AWSServiceRoleForSecurityIncidentResponse- usado para criar uma associação ao Security Incident Response - sua assinatura do serviço por meio de AWS Organizations. -
AWSServiceRoleForSecurityIncidentResponse_Triage- usado somente quando você ativa o recurso de triagem durante a inscrição.
CreateServiceLinkedRoleEventos esperados em AWS CloudTrail
Para oferecer novos recursos e garantir que os recursos necessários permaneçam configurados corretamente, o AWS Security Incident Response atualiza periodicamente a infraestrutura subjacente do serviço. Cada atualização aciona uma implantação que cria a função vinculada ao serviço necessária. Se a função já existir, a CreateServiceLinkedRole chamada retornará uma exceção que indica que a função já está presente. Essa exceção é esperada e tratada pelo serviço, e a implantação continua normalmente.
Como resultado, você pode ver InvalidInputException entradas CreateServiceLinkedRole em seu histórico de CloudTrail eventos. Essas entradas são um comportamento esperado, não têm impacto em suas contas e não exigem nenhuma ação.
Princípios de serviço usados pelo Resposta a Incidentes de Segurança
As funções vinculadas ao serviço na seção anterior podem ser assumidas apenas pelas entidades de serviço primárias autorizadas pelas relações de confiança definidas para a função. As funções vinculadas ao serviço usadas pelo Resposta a Incidentes de Segurança concedem acesso às seguintes entidades principais de serviço:
-
security-ir.amazonaws.com
Habilitar o acesso confiável ao Resposta a Incidentes de Segurança
Habilitar o acesso confiável ao Resposta a Incidentes de Segurança permite que o serviço acompanhe a estrutura da sua organização e garanta que todas as contas da organização tenham cobertura ativa de incidentes de segurança. Também permite que o serviço use uma função vinculada ao serviço nas contas dos membros para recursos de triagem quando você habilita o recurso de triagem.
Para obter informações sobre as permissões necessárias para habilitar acesso confiável, consulte Permissões necessárias para habilitar o acesso confiável.
Você pode ativar o acesso confiável usando o console do AWS Security Incident Response ou o AWS Organizations console.
Importante
É altamente recomendável que, sempre que possível, você use o console ou as ferramentas do AWS Security Incident Response para permitir a integração com as organizações. Isso permite que o AWS Security Incident Response execute qualquer configuração necessária, como criar os recursos necessários ao serviço. Continue com essas etapas somente se você não conseguir ativar a integração usando as ferramentas fornecidas pelo AWS Security Incident Response. Para obter mais informações, consulte esta nota.
Se você habilitar o acesso confiável usando o console ou as ferramentas do AWS Security Incident Response, não precisará concluir essas etapas.
O Organizations habilita automaticamente o acesso confiável do Organizations quando você usa o console do Resposta a Incidentes de Segurança para configuração e gerenciamento. Se você usar o Security Incident Response CLI/SDK , precisará habilitar manualmente o acesso confiável usando a EnableAWSServiceAccess API. Para saber como habilitar o acesso confiável por meio do console Security Incident Response, consulte Habilitando o acesso confiável para gerenciamento de AWS contas no Guia do usuário do Security Incident Response.
Você pode ativar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando ou chamando uma operação de API em um dos AWS SDKs.
Desabilitar o acesso confiável com o Resposta a Incidentes de Segurança
Apenas um administrador na conta gerencial do Organizations pode desabilitar o acesso confiável com o Resposta a Incidentes de Segurança.
Você só pode desabilitar o acesso confiável usando as ferramentas do Organizations.
Você pode desativar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando Organizations ou chamando uma operação de API Organizations em um dos AWS SDKs.
Habilitar uma conta de administrador delegado para o Resposta a Incidentes de Segurança
Quando você designa uma conta de membro como um administrador delegado para a organização, os usuários e as funções dessa conta podem executar ações administrativas para o Resposta a Incidentes de Segurança que, de outra forma, só poderiam ser acionadas por usuários ou funções na conta gerencial da organização. Isso ajuda você a separar o gerenciamento da organização do gerenciamento do Resposta a Incidentes de Segurança. Para obter mais informações, consulte Gerenciando contas de resposta a incidentes de AWS segurança com AWS Organizations o Guia do usuário do Security Incident Response.
Permissões mínimas
Somente um usuário ou perfil na conta gerencial do Organizations pode configurar uma conta de membro como um administrador delegado para o Resposta a Incidentes de Segurança na organização
Para saber como configurar um administrador delegado por meio do console do Resposta Incidentes de Segurança, consulte Designando uma conta delegada de administrador do Resposta a Incidentes de Segurança no Guia do usuário do Resposta a Incidentes de Segurança.
Desabilitar um administrador delegado para o Resposta a Incidentes de Segurança
Importante
Se a associação foi criada a partir da conta do administrador delegado, cancelar o registro do administrador delegado é uma ação destrutiva e causará a interrupção do serviço. Para registrar novamente o DA:
Faça login no console do Security Incident Response em https://console.aws.amazon.com/security-ir/home #/ membership/settings
Cancele a associação no console de serviço. A associação permanece ativa até o final do ciclo de cobrança.
Depois que a associação for cancelada, desative o acesso ao serviço por meio do console do Organizations, da CLI ou do SDK.
Somente um administrador na conta gerencial do Organizations pode remover um administrador delegado para uma Resposta a um incidente de segurança. É possível remover a conta de administrador delegado usando a operação DeregisterDelegatedAdministrator da CLI ou SDK do Organizations.
