Etapa 1: habilitar AWS Security Incident Response
O processo de integração leva aproximadamente de 10 a 15 minutos por organização da AWS. Para ver uma demonstração, assista ao Vídeo de introdução na documentação do serviço.
Como habilitar o AWS Security Incident Response
-
Faça login no Console de Gerenciamento da AWS usando sua conta gerencial.
-
Abra o console do AWS Security Incident Response e clique em Cadastrar.
-
Designe uma conta de ferramenta de segurança como administrador delegado.
-
Para obter orientação, consulte Security Reference Architecture nas Recomendações da AWS e Administrador delegado.
-
-
Faça login na conta do administrador delegado.
-
Insira os detalhes da associação e associe as contas relevantes.
-
Em Escopo da conta, escolha habilitar o AWS Security Incident Response para toda a sua organização da AWS ou para UOs específicas. Você pode selecionar a cobertura no nível da UO, mas não no nível da conta individual.
-
Para Resposta proativa, confirme se a configuração está habilitada. A resposta proativa é ativada por padrão e cria um perfil vinculado ao serviço que permite à SIRT da AWS ingerir descobertas do GuardDuty e abrir casos de investigação proativa quando ameaças são detectadas. Para obter mais informações, consulte Resposta proativa.
Importante
O perfil vinculado ao serviço não é implantado automaticamente na conta gerencial. Você deve configurá-lo manualmente para obter uma cobertura completa. Para instruções, consulte Configuração de fluxos de trabalho de resposta proativa e de triagem de alertas.
-
(Opcional) Escolha pré-autorizar a SIRT da AWS ao realizar ações de contenção em seu nome durante incidentes ativos. As ações de contenção compatíveis incluem runbooks para buckets comprometidos do S3, instâncias do EC2 e entidades principais do IAM. Se você pular essa etapa, a SIRT fornecerá orientação manual durante as investigações. Para obter mais informações, consulte Ações de contenção.
-
Revise as permissões do serviço e a configuração de integração e escolha Cadastrar.
