As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá. # Implantação automatizada - StackSets **nota** Recomendamos a implantação com StackSets. No entanto, para implantações de conta única ou para fins de teste ou avaliação, considere a opção de implantação [ de ](deployment.md) pilhas. Antes de lançar a solução, revise a arquitetura, os componentes da solução, a segurança e as considerações de design discutidas neste guia. Siga as instruções detalhadas nesta seção para configurar e implantar a solução em suas organizações da AWS. **Tempo de implantação: ** aproximadamente 30 minutos por conta, dependendo StackSet dos parâmetros. ## Pré-requisitos [O AWS Organizations ](https://aws.amazon.com/organizations/) ajuda você a gerenciar e governar centralmente seu ambiente e recursos da AWS com várias contas. StackSets trabalhe melhor com o AWS Organizations. Se você já implantou a versão 1.3.x ou anterior dessa solução, deverá desinstalar a solução existente. Para obter mais informações, consulte [ Atualizar a solução](update-the-solution.md). Antes de implantar essa solução, revise sua implantação do AWS Security Hub: + Deve haver uma conta de administrador delegada do Security Hub em sua organização da AWS. + O Security Hub deve ser configurado para agregar descobertas em todas as regiões. Para obter mais informações, consulte [ Agregando descobertas entre regiões ](https://docs.aws.amazon.com/securityhub/latest/userguide/finding-aggregation.html) no Guia do usuário do AWS Security Hub. + Você deve [ ativar o Security Hub ](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-prereq-config.html) para sua organização em cada região em que você usa a AWS. Esse procedimento pressupõe que você tenha várias contas usando o AWS Organizations e tenha delegado uma conta de administrador do AWS Organizations e uma conta de administrador do AWS Security Hub. **Essa solução funciona com o [ AWS Security Hub e o AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-are-securityhub-services.html). ** ## Visão geral da implantação **nota** StackSets a implantação dessa solução usa uma combinação de gerenciamento de serviços e autogerenciamento. StackSets Self-managed StackSets devem ser usados atualmente porque eles usam pilhas aninhadas, que ainda não são compatíveis com o gerenciamento de serviços. StackSets Implemente o a StackSets partir de uma conta de administrador [ delegada ](https://docs.aws.amazon.com/organizations/latest/userguide/services-that-can-integrate-cloudformation.html) em suas organizações da AWS. **Planejamento** Use o formulário a seguir para ajudar na StackSets implantação. Prepare seus dados e, em seguida, copie e cole os valores durante a implantação. ``` AWS Organizations admin account ID: _______________ Security Hub admin account ID: _______________ CloudTrail Logs Group: ______________________________ Member account IDs (comma-separated list): ___________________, ___________________, ___________________, ___________________, ___________________ AWS Organizations OUs (comma-separated list): ___________________, ___________________, ___________________, ___________________, ___________________ ``` [(Opcional) Etapa 0: implantar a pilha de integração de tíquetes ](#step-0-stackset) + Se você pretende usar o recurso de emissão de tíquetes, implante primeiro a pilha de integração de tíquetes em sua conta de administrador do Security Hub. + Copie o nome da função Lambda dessa pilha e forneça-o como entrada para a pilha admin (consulte a Etapa 1). [Etapa 1: Inicie a pilha de administração na conta de administrador delegada do Security Hub ](#step-1-stackset) + Usando um modelo autogerenciado StackSet, inicie o CloudFormation modelo `automated-security-response-admin.template` da AWS em sua conta de administrador do AWS Security Hub na mesma região do administrador do Security Hub. Esse modelo usa pilhas aninhadas. + Escolha quais padrões de segurança instalar. Por padrão, somente SC é selecionado (Recomendado). + Escolha um grupo de registros existente do Orchestrator para usar. Escolha `Yes` se `SO0111-ASR-Orchestrator` já existe em uma instalação anterior. + Escolha se deseja ativar a interface de usuário da Web da solução. Se você optar por ativar esse recurso, também deverá inserir um endereço de e-mail para receber uma função de administrador. + Escolha suas preferências para coletar CloudWatch métricas relacionadas à integridade operacional da solução. Para obter mais informações sobre autogerenciamento StackSets, consulte [ Conceder permissões autogerenciadas ](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-prereqs-self-managed.html) no Guia do CloudFormation usuário da * AWS. * [Etapa 2: Instalar as funções de remediação em cada conta de membro do AWS Security Hub ](#step-2-stackset) Aguarde a conclusão da implantação da Etapa 1, pois o modelo na Etapa 2 faz referência às funções do IAM criadas pela Etapa 1. + Usando um serviço gerenciado StackSet, inicie o CloudFormation modelo `automated-security-response-member-roles.template` da AWS em uma única região em cada conta em suas organizações da AWS. + Escolha instalar esse modelo automaticamente quando uma nova conta entrar na organização. + Insira o ID da sua conta de administrador do AWS Security Hub. + Insira um valor para o `namespace` que será usado para evitar conflitos de nomes de recursos com uma implantação anterior ou simultânea na mesma conta. Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. [Etapa 3: Inicie a pilha de membros em cada conta e região de membro do AWS Security Hub ](#step-3-stackset) + Usando o autogerenciamento StackSets, inicie o CloudFormation modelo `automated-security-response-member.template` da AWS em todas as regiões em que você tem recursos da AWS em todas as contas da sua organização da AWS gerenciadas pelo mesmo administrador do Security Hub. **nota** Até que as pilhas de StackSets suporte gerenciado pelo serviço estejam aninhadas, você deve executar essa etapa para todas as novas contas que ingressem na organização. + Escolha quais manuais do Security Standard devem ser instalados. + Forneça o nome de um grupo de CloudTrail registros (usado por algumas correções). + Insira o ID da sua conta de administrador do AWS Security Hub. + Insira um valor para o `namespace` que será usado para evitar conflitos de nomes de recursos com uma implantação anterior ou simultânea na mesma conta. Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. Isso deve corresponder ao `namespace` valor que você selecionou para a pilha de funções de membro. Além disso, o valor do namespace não precisa ser exclusivo por conta de membro. ## (Opcional) Etapa 0: Inicie uma pilha de integração do sistema de tickets 1. Se você pretende usar o recurso de emissão de tíquetes, inicie primeiro a respectiva pilha de integração. 1. Escolha as pilhas de integração fornecidas para o Jira ou ServiceNow use-as como um plano para implementar sua própria integração personalizada. **Para implantar a pilha do Jira: ** 1. Insira um nome para sua pilha. 1. Forneça o URI para sua instância do Jira. 1. Forneça a chave do projeto do Jira para o qual você deseja enviar tickets. 1. Crie um novo segredo de valor-chave no AWS Secrets Manager que contém seu Jira e. `Username` `Password` **nota** Você pode optar por usar uma chave de API do Jira no lugar de sua senha fornecendo seu nome de usuário como `Username` e sua chave de API como a. `Password` 1. Adicione o ARN desse segredo como entrada na pilha. **Forneça um nome de pilha, informações do projeto Jira e credenciais da API do Jira. ** ![Configuração da pilha de integração do sistema de tickets Jira](https://docs.aws.amazon.com/pt_br/solutions/latest/automated-security-response-on-aws/images/ticket-system-integration-stack-jira.png) **Configuração ** de campo do Jira: Depois de implantar a pilha do Jira, você pode personalizar os campos de ticket do Jira definindo a variável de `JIRA_FIELDS_MAPPING` ambiente na função Lambda. Essa string JSON substitui os campos de ticket padrão do Jira e deve seguir a estrutura de campos da API do Jira. Valores padrão quando `JIRA_FIELDS_MAPPING` está vazio ou os campos não são especificados: + **prioridade**: `{"id": "3"}` (Prioridade média) + **tipo de problema**: `{"id": "10006"}` (Tarefa) + **AccountID**: recuperado automaticamente usando o endpoint da API `GET /rest/api/2/myself` Exemplo de configuração com campos personalizados: ``` { "reporter": {"accountId": "123456:494dcbff-1b80-482c-a89d-56ae81c145a4"}, "priority": {"id": "1"}, "issuetype": {"id": "10006"}, "assignee": {"accountId": "123456:another-user-id"}, "customfield_10001": "custom value" } ``` IDs de campo comuns do Jira: + **IDs de prioridade**: 1 (mais alta), 2 (alta), 3 (média), 4 (baixa), 5 (mais baixa) + **ID do tipo de problema**: varia de acordo com o projeto Jira (por exemplo, 10006 para Task) + **ID da conta**: Formato `123456:494dcbff-1b80-482c-a89d-56ae81c145a4` Você pode encontrar seus IDs de campo e IDs de conta do Jira usando a API REST do Jira: + `GET /rest/api/2/myself`para ID da conta + `GET /rest/api/2/priority`para IDs prioritários + `GET /rest/api/2/project/{projectKey}`para IDs de tipo de problema Para obter mais informações, consulte o formato POST da [ Jira REST API v2 Issue. ](https://developer.atlassian.com/server/jira/platform/rest/v10000/api-group-issue/#api-api-2-issue-post) **Para implantar a ServiceNow pilha**: 1. Insira um nome para sua pilha. 1. Forneça o URI da sua ServiceNow instância. 1. Forneça o nome ServiceNow da sua tabela. 1. Crie uma chave de API ServiceNow com permissão para modificar a tabela na qual você pretende gravar. 1. Crie um segredo no Secrets Manager com a chave `API_Key` e forneça o ARN secreto como entrada para a pilha. **Forneça um nome de pilha, informações ServiceNow do projeto e credenciais ServiceNow da API. ** ![ServiceNow configuração da pilha de integração do sistema de tickets](https://docs.aws.amazon.com/pt_br/solutions/latest/automated-security-response-on-aws/images/ticket-system-integration-stack-servicenow.png) **Para criar uma pilha de integração personalizada**: inclua uma função do Lambda que o orquestrador de soluções Step Functions possa chamar para cada remediação. A função Lambda deve receber a entrada fornecida pelo Step Functions, construir uma carga útil de acordo com os requisitos do seu sistema de emissão de tíquetes e fazer uma solicitação ao sistema para criar o tíquete. ## Etapa 1: Inicie a pilha de administração na conta de administrador delegada do Security Hub 1. Inicie a pilha [ de ](https://solutions-reference.s3.amazonaws.com/automated-security-response-on-aws/latest/automated-security-response-admin.template) administração com sua conta de administrador do Security Hub. `automated-security-response-admin.template` Normalmente, um por organização em uma única região. Como essa pilha usa pilhas aninhadas, você deve implantar esse modelo como autogerenciado. StackSet ### Parâmetros | Parâmetro | Padrão | Description | | --- | --- | --- | | **Carregar SC Admin Stack ** | `yes` | Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles SC. | | **Carregar pilha de administração do AFSBP ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles FSBP. | | **Carregar o CIS120 Admin Stack ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS120. | | **Carregar o CIS140 Admin Stack ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS140. | | **Carregar o CIS300 Admin Stack ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS300. | | **Carregar a pilha de administração PCI321 ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automática dos controles PCI321. | | **Carregar o NIST Admin Stack ** | `no` | Especifique se deseja instalar os componentes administrativos para remediação automática dos controles do NIST. | | **Reutilize o grupo de registros do Orchestrator ** | `no` | Selecione se deseja ou não reutilizar um grupo de `SO0111-ASR-Orchestrator` CloudWatch registros existente. Isso simplifica a reinstalação e as atualizações sem perder os dados de registro de uma versão anterior. Reutilize o existente, `Orchestrator Log Group` escolha `yes` se `Orchestrator Log Group` ainda existe de uma implantação anterior nessa conta, caso contrário`no`. Se você estiver executando uma atualização de pilha a partir de uma versão anterior à v2.3.0, escolha `no` | | **ShouldDeployWebUI** | `yes` | Implante os componentes da interface do usuário da Web, incluindo API Gateway, funções do Lambda e CloudFront distribuição. Escolha “sim” para ativar a interface de usuário baseada na web para visualizar as descobertas e o status da remediação. Se você optar por desabilitar esse recurso, ainda poderá configurar correções automatizadas e executá-las sob demanda usando a ação personalizada CSPM do Security Hub. | | **AdminUserEmail** | *(Entrada opcional) * | Endereço de e-mail do usuário administrador inicial. Esse usuário terá acesso administrativo total à interface de usuário da Web do ASR. Obrigatório ** somente ** quando a interface de usuário da Web está ativada. | | **Use CloudWatch métricas ** | `yes` | Especifique se deseja ativar o CloudWatch Metrics para monitorar a solução. Isso criará um CloudWatch painel para visualizar as métricas. | | **Use CloudWatch alarmes de métricas ** | `yes` | Especifique se deseja ativar os Alarmes de CloudWatch Métricas para a solução. Isso criará alarmes para determinadas métricas coletadas pela solução. | | **RemediationFailureAlarmThreshold** | `5` | Especifique o limite para a porcentagem de falhas de remediação por ID de controle. Por exemplo, se você digitar`5`, receberá um alarme se uma ID de controle falhar em mais de 5% das remediações em um determinado dia.
Esse parâmetro funciona somente se alarmes forem criados (consulte o ** parâmetro ** Use CloudWatch Metrics Alarms). | | **EnableEnhancedCloudWatchMetrics** | `no` | Se`yes`, cria CloudWatch métricas adicionais para rastrear todos os IDs de controle individualmente no CloudWatch painel e como CloudWatch alarmes.
Consulte a [ seção ](cost.md#additional-cost-enhanced-metrics) Custo para entender o custo adicional que isso acarreta. | | **TicketGenFunctionName** | *(Entrada opcional) * | Opcional. Deixe em branco se não quiser integrar um sistema de emissão de bilhetes. Caso contrário, forneça o nome da função Lambda da saída da pilha da [ Etapa 0](#step-0-stackset), por exemplo:. `SO0111-ASR-ServiceNow-TicketGenerator` | **Configurar StackSet opções ** ![Página de configuração StackSet de opções](https://docs.aws.amazon.com/pt_br/solutions/latest/automated-security-response-on-aws/images/configure-stackset-options.png) 1. Para o ** parâmetro ** Account numbers, insira o ID da conta de administrador do AWS Security Hub. 1. Para o ** parâmetro ** Especificar regiões, selecione somente a região em que o administrador do Security Hub está ativado. Aguarde a conclusão dessa etapa antes de prosseguir para a Etapa 2. Você pode visualizar o status da StackSet operação no CloudFormation console da AWS na página de StackSet detalhes. Você deve receber o status de ** operação ** BEM-SUCEDIDA em aproximadamente 15 minutos. ## Etapa 2: Instalar as funções de remediação em cada conta de membro do AWS Security Hub Use um serviço gerenciado StackSets para implantar o modelo [ de funções de ](https://solutions-reference.s3.amazonaws.com/automated-security-response-on-aws/latest/automated-security-response-member-roles.template) membro,. `automated-security-response-member-roles.template` Isso StackSet deve ser implantado em uma região por conta de membro. Ele define as funções globais que permitem chamadas de API entre contas a partir da função de etapa do ASR Orchestrator. ### Parâmetros | Parâmetro | Padrão | Description | | --- | --- | --- | | **Namespace** | {{}} | Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. Namespace exclusivo a ser adicionado como sufixo aos nomes das funções do IAM de remediação. O mesmo namespace deve ser usado nas funções de membro e nas pilhas de membros. Essa string deve ser exclusiva para cada implantação de solução, mas não precisa ser alterada durante as atualizações da pilha. O valor do namespace ** não ** precisa ser exclusivo por conta de membro. | | **Conta de administrador do Sec Hub ** | {{}} | Insira o ID da conta de 12 dígitos para a conta de administrador do AWS Security Hub. Esse valor concede permissões à função de solução da conta de administrador. | 1. Implante em toda a organização (típico) ou em unidades organizacionais, de acordo com as políticas da sua organização. 1. Ative a implantação automática para que novas contas nas organizações da AWS recebam essas permissões. 1. Para o ** parâmetro ** Especificar regiões, selecione uma única região. As funções do IAM são globais. Você pode continuar na Etapa 3 enquanto isso é StackSet implantado. Você pode visualizar o status da StackSet operação no CloudFormation console da AWS na página de StackSet detalhes. Você deve receber o status de ** operação ** BEM-SUCEDIDA em aproximadamente 5 minutos. **Especifique StackSet detalhes ** ![Especifique a página de StackSet detalhes](https://docs.aws.amazon.com/pt_br/solutions/latest/automated-security-response-on-aws/images/specify-stackset-details.png) ## Etapa 3: Inicie a pilha de membros em cada conta e região de membro do AWS Security Hub Como a pilha de [ membros ](https://solutions-reference.s3.amazonaws.com/automated-security-response-on-aws/latest/automated-security-response-member.template) usa pilhas aninhadas, você deve implantar como uma pilha autogerenciada. StackSet Isso não oferece suporte à implantação automática em novas contas na organização da AWS. ### Parâmetros | Parâmetro | Padrão | Description | | --- | --- | --- | | **Forneça o nome do LogGroup a ser usado para criar filtros e alarmes métricos ** | {{}} | Especifique o nome de um grupo de CloudWatch registros em que CloudTrail registra chamadas de API. Isso é usado para remediações do CIS 3.1-3.14. | | **Carregar pilha de membros do SC ** | `yes` | Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles SC. | | **Carregar pilha de membros do AFSBP ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automática dos controles FSBP. | | **Carregar pilha de membros do CIS120 ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS120. | | **Carregar pilha de membros do CIS140 ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS140. | | **Carregar pilha de membros do CIS300 ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS300. | | **Carregar pilha de membros PCI321 ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automática dos controles PCI321. | | **Carregar pilha de membros do NIST ** | `no` | Especifique se deseja instalar os componentes do membro para remediação automática dos controles do NIST. | | **Crie o bucket do S3 para o registro de auditoria do Redshift ** | `no` | Escolha `yes` criar o bucket S3 para a remediação do FSBP RedShift.4 . Para obter detalhes sobre o bucket do S3 e a remediação, revise a [ Redshift.4 remediação ](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-standards-fsbp-controls.html#fsbp-redshift-4) no Guia do usuário do * AWS Security Hub. * | | **Conta de administrador do Sec Hub ** | {{}} | Insira o ID da conta de 12 dígitos para a conta de administrador do AWS Security Hub. | | **Namespace** | {{}} | Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. Essa string se torna parte dos nomes das funções do IAM e do bucket do Action Log S3. Use o mesmo valor para implantação de pilha de membros e implantação de pilha de funções de membro. A string deve ser exclusiva para cada implantação de solução, mas não precisa ser alterada durante as atualizações da pilha. | | **EnableCloudTrailForASRActionLog** | `no` | Selecione `yes` se você deseja monitorar os eventos de gerenciamento conduzidos pela solução no CloudWatch painel. A solução cria uma CloudTrail trilha em cada conta de membro que você seleciona`yes`. Você deve implantar a solução em uma organização da AWS para habilitar esse recurso. **Além disso, você só pode ativar esse recurso em uma única região dentro da mesma conta. ** Consulte a [ seção ](cost.md#additional-cost-action-log) Custo para entender o custo adicional que isso acarreta. | **Contas** ![Página de configuração de implantação de contas](https://docs.aws.amazon.com/pt_br/solutions/latest/automated-security-response-on-aws/images/accounts.png) **Locais de implantação**: você pode especificar uma lista de números de contas ou unidades organizacionais. **Especifique regiões**: selecione todas as regiões nas quais você deseja corrigir as descobertas. Você pode ajustar as opções de implantação conforme apropriado para o número de contas e regiões. A simultaneidade de regiões pode ser paralela. Você pode visualizar o status da StackSet operação no CloudFormation console da AWS na página de StackSet detalhes. Você deve receber um status de ** operação ** BEM-SUCEDIDA para cada combinação de conta e região. O tempo de implantação varia de acordo com o número de contas e regiões selecionadas.