本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

驗證您的 AWS 安全事件應變 組態

完成加入後，您可以驗證註冊、偵測來源、 AWS Identity and Access Management (IAM) 許可、遏制和通知在實際安全事件發生之前已正確設定。本節提供使用 AWS Management Console 和 CLI AWS 的step-by-step驗證程序。

在您驗證之前

驗證安全事件回應組態的先決條件

若要完成這些驗證步驟，請確定您有下列項目：

確認日誌就緒狀態

AWS 安全事件應變 不會代表您啟用日誌來源。在調查期間，工程師依賴已存在於您環境中的日誌。在驗證您的設定之前，請確認已在所有涵蓋的帳戶和 中啟用下列日誌 AWS 區域。如果沒有這些日誌，安全事件回應工程師在調查期間的可見性有限。在繼續之前啟用它們。

確認已啟用 GuardDuty

使用下列命令來驗證 Amazon GuardDuty 在您的帳戶中是否處於作用中狀態：

aws guardduty list-detectors

非空白回應會確認目前已啟用 GuardDuty AWS 區域。針對每個作用中區域重複此步驟，或透過 GuardDuty 委派管理員帳戶在整個組織中進行驗證。

步驟 1：驗證註冊和成員資格

使用 AWS 安全事件應變 主控台

使用 AWS CLI

從您的委派管理員帳戶執行下列命令：

aws security-ir list-memberships

上述命令會傳回您的成員資格 ID 和狀態。

若要取得完整的成員資格詳細資訊，包括您的事件回應團隊組態，請執行下列命令：

aws security-ir get-membership --membership-id membership-id

使用命令輸出來驗證下列資訊。

驗證委派管理員

若要確認正確的帳戶已註冊為安全事件回應的委派管理員，請執行下列命令：

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

步驟 2：驗證偵測來源和分類

AWS 安全事件應變 透過 Security Hub CSPM 監控來自 GuardDuty 和第三方工具的安全調查結果。服務會使用服務連結角色，在加入期間透過部署至您帳戶的 Amazon EventBridge 規則擷取問題清單。

驗證 Triage 服務連結角色

AWSServiceRoleForSecurityIncidentResponse_Triage 服務連結角色必須存在於您的管理帳戶和所有範圍內的成員帳戶中。

若要驗證，請在 管理和範圍內成員帳戶中執行下列命令：

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

成功的回應會確認角色存在。如果您收到NoSuchEntity錯誤，請執行下列其中一項操作：

驗證主要服務連結角色

AWSServiceRoleForSecurityIncidentResponse 角色也應該存在於您的委派管理員帳戶中。若要驗證角色是否存在，請執行下列命令：

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

驗證主動回應和 EventBridge 規則

在 AWS 安全事件應變 主控台中，確認主動回應顯示為已啟用。啟用時，服務會執行下列動作：

確認 EventBridge 規則已部署在成員帳戶中

若要確認 EventBridge 規則已部署在成員帳戶中，請完成下列步驟。

如果缺少規則，請從安全事件回應主控台或聯絡人重新執行主動回應設定 AWS 支援。

驗證第三方整合 （如適用）

如果您使用第三方偵測工具 （例如 CrowdStrike Falcon、Trend Micro Cloud One 或 Fortinet Meshwork FortiCNAPP)，請確認其調查結果正在流經 Security Hub CSPM：

步驟 3：驗證自動調查結果管道

此步驟會確認 EventBridge 管道處於作用中狀態，且問題清單正在達到自動分類。

關於 GuardDuty 範例調查結果

GuardDuty 的內建產生範例問題清單功能會產生標記為範例的問題清單。自動化分類會篩選範例調查結果以防止雜訊；它們不會流經完整的分類管道，也無法用來驗證您的安全事件回應組態。請勿將它們用於此步驟。

使用 GuardDuty 測試網域驗證

GuardDuty 文件提供測試網域 (guarddutyc2activityb.com)，可產生真實問題清單，而無需實際的安全事件。從涵蓋帳戶中的 Amazon EC2 執行個體查詢此網域會產生安全事件回應擷取和處理的問題清單。

若要產生測試問題清單：

預期事項：

步驟 4：驗證通知和事件回應團隊

驗證您的事件回應團隊

在安全事件回應主控台中，檢閱您設定的事件回應團隊成員。建立案例時，每個成員都會立即收到電子郵件通知。

或者，執行下列命令以使用 驗證 AWS CLI：

aws security-ir get-membership --membership-id membership-id

確認：

了解案例監看器

案例監看員是有權檢視特定案例的利益相關者。金鑰詳細資訊：

此每個案例範圍在授予外部各方存取權時尤其重要，例如受管偵測和回應 (MDR) 合作夥伴或第三方調查團隊，他們應該只看到他們涉及的特定案例。

使用測試案例驗證通知交付

驗證end-to-end通知流程最有效的方法是建立被動 （自我管理） 測試案例：

案例通知的預期內容

建立案例時 （由 服務或由您的團隊主動回應），所有設定的事件回應團隊成員都會收到包含案例詳細資訊的電子郵件通知。

驗證 EventBridge 整合 （如果已設定）

如果您設定 EventBridge 將案例事件路由到第三方平台 （例如 ServiceNow、Jira、Slack 或 PagerDuty)，請確認您的測試案例觸發這些系統中的預期通知。

步驟 5：確認遏制就緒狀態 （選用）

如果您尚未啟用遏制

此處沒有要驗證的內容。安全事件回應會在安全事件期間提供指引和調查，但除非您明確授權，否則 不會採取自動遏制動作。

如果您已啟用遏制

在主控台中檢查遏制狀態。確認遏制動作是否顯示為已授權。支援的遏制動作包括適用於下列項目的 Runbook：

確認已部署 CloudFormation StackSet。限制需要涵蓋帳戶中的 IAM 角色 (AWSSecurityIncidentResponseContainment 和 AWSSecurityIncidentResponseContainmentExecution)：

如果未部署 StackSet，主控台中的遏制授權不會導致採取實際的遏制動作。

確認您的遏制偏好設定。安全事件回應支援三個遏制層級：

若要提交或更新您的偏好設定，請使用 AWS 支援 案例類型技術：安全事件回應服務/其他來建立案例。

如果您想要 EC2 Triage：使用 EC2 Triage CloudFormation 範本部署限制。 CloudFormation 這可讓安全事件回應工程師使用 從 Amazon EC2 執行個體收集調查資料 AWS Systems Manager。

步驟 6：確認進行中的操作

完成初始驗證後，請使用這些指標來確認安全事件回應持續如預期般運作。

沒有案例是正常的

安全事件回應只會在自動分類識別需要人工調查的活動時建立主動案例。當分類判斷問題清單為良性時，它會封存問題清單，而不建立案例或聯絡您的團隊。沒有開啟案例和封存 GuardDuty 調查結果一致流程的部署會如預期般運作。

如果您在環境作用中幾天後沒有看到任何案例，也沒有封存的問題清單，則管道可能無法連線；請驗證步驟 2 和 3。

將問題清單和隱藏規則封存為運作狀態訊號

當安全事件回應隨著時間處理問題清單時，它會建立兩個可觀測的成品：

建立禁止規則時，您的事件回應團隊會收到通知。如果規則建立錯誤，請聯絡 AWS 支援 請求轉返。封存的問題清單會在 GuardDuty 中保留 90 天。

每月活動報告

安全事件回應會傳送每月活動報告給您的事件回應團隊，摘要處理的問題清單、分類結果和任何開啟的案例。如果您的團隊在您第一個完整日曆月的操作後仍未收到報告，請確認事件回應團隊成員已啟用通訊。對於與每月報告相關的任何其他問題，請聯絡您的客戶團隊或開立案例類型的支援案例：技術：安全事件回應服務/其他，並包含以下資訊：

安全事件回應工程師的預期事項

當您建立 AWS支援的案例或 服務主動建立案例時，安全事件回應工程師會在 15 分鐘內確認新案例。此 15 分鐘確認 SLO 適用於 AWS所有支援的案例類型，包括作用中的安全事件和調查。初始確認確認您的案例正在審核中；完整的評估時間表可能會根據案例嚴重性和複雜性而有所不同。

對於主動案例 （在分類服務識別已確認的安全問題時自動建立），服務會在自動分類確認問題後建立案例，並在案例開啟時通知您的事件回應團隊。

驗證檢查清單

使用此檢查清單確認您的組態已完成：

帳單驗證

企業支援和統一營運客戶：安全事件回應包含在支援計畫中，無需額外費用。您不會在 AWS Cost Explorer 或 AWS 成本和用量報告中看到安全事件回應費用。

所有其他客戶：定價是根據擷取的安全性調查結果數量。每月前 10，000 個調查結果是免費的。如需詳細資訊，請參閱 AWS 安全事件應變 定價。

疑難排解

相關資源