Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.
SEC04-BP02 Erfassen von Protokollen, Ergebnissen und Kennzahlen an standardisierten Orten
Sicherheitsteams stützen sich auf Protokolle und Erkenntnisse, um Ereignisse zu analysieren, die auf unbefugte Aktivitäten oder unbeabsichtigte Änderungen hindeuten könnten. Um diese Analyse zu rationalisieren, sollten Sie Sicherheitsprotokolle und Ergebnisse an standardisierten Orten erfassen. Dies macht Datenpunkte von Interesse für die Korrelation verfügbar und kann die Integration von Tools vereinfachen.
Gewünschtes Ergebnis: Sie verfügen über einen standardisierten Ansatz zum Sammeln, Analysieren und Visualisieren von Protokolldaten, Erkenntnissen und Metriken. Sicherheitsteams können Sicherheitsdaten über verschiedene Systeme hinweg effizient korrelieren, analysieren und visualisieren, um potenzielle Sicherheitsereignisse zu erkennen und Anomalien zu identifizieren. Systeme zur Verwaltung von Sicherheitsinformationen und Ereignissen (SIEM) oder andere Mechanismen sind integriert, um Protokolldaten abzufragen und zu analysieren, um rechtzeitig auf Sicherheitsereignisse reagieren, sie verfolgen und eskalieren zu können.
Typische Anti-Muster:
-
Teams besitzen und verwalten eigenständig Protokolle und Metriksammlungen, die nicht mit der Protokollierungsstrategie der Organisation übereinstimmen.
-
Teams verfügen nicht über angemessene Zugriffskontrollen, um die Sichtbarkeit und Veränderung der erfassten Daten einzuschränken.
-
Teams regeln ihre Sicherheitsprotokolle, Erkenntnisse und Metriken nicht als Teil ihrer Richtlinie zur Datenklassifizierung.
-
Teams vernachlässigen bei der Konfiguration von Datensammlungen die Anforderungen an die Datenhoheit und die Lokalisierung.
Vorteile der Nutzung dieser bewährten Methode: Eine standardisierte Protokollierungslösung zur Erfassung und Abfrage von Protokolldaten und -ereignissen verbessert die aus den darin enthaltenen Informationen gewonnenen Erkenntnisse. Die Konfiguration eines automatisierten Lebenszyklus für die gesammelten Protokolldaten kann die durch die Speicherung von Protokollen entstehenden Kosten reduzieren. Sie können eine fein abgestufte Zugriffskontrolle für die gesammelten Protokollinformationen einrichten, je nachdem, wie sensibel die Daten sind und welche Zugriffsmuster Ihre Teams benötigen. Sie können Tools integrieren, um die Daten zu korrelieren, zu visualisieren und Erkenntnisse daraus abzuleiten.
Risikostufe, wenn diese bewährte Methode nicht eingeführt wird: Mittel
Implementierungsleitfaden
Die zunehmende AWS Nutzung innerhalb eines Unternehmens führt zu einer wachsenden Anzahl verteilter Workloads und Umgebungen. Jeder dieser Workloads und jede dieser Umgebungen generiert Daten über die darin stattfindenden Aktivitäten. Die Erfassung und lokale Speicherung dieser Daten stellt eine Herausforderung für den Sicherheitsbetrieb dar. Sicherheitsteams verwenden Tools wie Sicherheitsinformations- und Event-Management-Systeme (SIEM), um Daten aus verteilten Quellen zu sammeln und Workflows für Korrelation, Analyse und Reaktion zu durchlaufen. Dies erfordert die Verwaltung komplexer Berechtigungen für den Zugriff auf die verschiedenen Datenquellen und zusätzlichen Aufwand beim Betrieb der Extraktions-, Transformations- und Ladeprozesse (ETL).
Um diese Herausforderungen zu bewältigen, sollten Sie erwägen, alle relevanten Quellen von Sicherheitsprotokolldaten in einem Log Archive-Konto zusammenzufassen, wie unter Organizing Your AWS Environment Using Multiple Accounts beschrieben. Dazu gehören alle sicherheitsrelevanten Daten aus Ihrem Workload und Protokolle, die AWS
-Services erzeugen, wie AWS CloudTrail
Um die Erfassung und Standardisierung von Protokollen und Erkenntnissen zu erleichtern, bewerten Sie Amazon Security Lake in Ihrem Protokollarchiv-Konto. Sie können Security Lake so konfigurieren, dass Daten aus gängigen Quellen wie Route 53 CloudTrailEKS, Amazon
Das Speichern von Sicherheitsdaten an standardisierten Speicherorten bietet erweiterte Analysefunktionen.AWS empfiehlt, dass Sie Tools für Sicherheitsanalysen, die in einer AWS Umgebung funktionieren, in einem Security Tooling-Konto bereitstellen, das von Ihrem Log Archive-Konto getrennt ist. Dieser Ansatz ermöglicht es Ihnen, Kontrollen in der Tiefe zu implementieren, um die Integrität und Verfügbarkeit der Protokolle und des Protokollverwaltungsprozesses zu schützen, und zwar unabhängig von den Tools, die auf sie zugreifen. Erwägen Sie die Nutzung von Services wie Amazon Athena
Implementierungsschritte
-
Erstellen Sie die Konten „Protokollarchiv“ und „Security Tooling“
-
Erstellen Sie mithilfe von AWS Organizations Log Archive und Security Tooling Konten unter einer Sicherheits-Organisationseinheit. Wenn Sie Ihre Organisation verwalten AWS Control Tower , werden die Konten Log Archive und Security Tooling automatisch für Sie erstellt. Konfigurieren Sie bei Bedarf Rollen und Berechtigungen für den Zugriff auf diese Konten und deren Verwaltung.
-
-
Konfigurieren Sie Ihre standardisierten Speicherorte für Sicherheitsdaten
-
Legen Sie Ihre Strategie für die Erstellung standardisierter Sicherheitsdatenorte fest. Sie können dies durch Optionen wie gängige Data-Lake-Architekturansätze, Datenprodukte von Drittanbietern oder Amazon Security Lake erreichen.AWS empfiehlt, dass Sie Sicherheitsdaten von den Konten erfassen AWS-Regionen , für die Sie sich angemeldet haben, auch wenn diese nicht aktiv genutzt werden.
-
-
Konfigurieren Sie die Veröffentlichung von Datenquellen an Ihren standardisierten Standorten
-
Identifizieren Sie die Quellen für Ihre Sicherheitsdaten und konfigurieren Sie sie so, dass sie an Ihren standardisierten Speicherorten veröffentlicht werden. Prüfen Sie die Optionen für den automatischen Export von Daten im gewünschten Format, im Gegensatz zu denen, bei denen ETL Prozesse entwickelt werden müssen. Mit Amazon Security Lake können Sie Daten aus unterstützten AWS Quellen und integrierten Systemen von Drittanbietern sammeln.
-
-
Konfigurieren Sie Tools für den Zugriff auf Ihre standardisierten Speicherorte
-
Konfigurieren Sie Tools wie Amazon Athena, Amazon oder Lösungen von Drittanbietern QuickSight, um den erforderlichen Zugriff auf Ihre standardisierten Standorte zu erhalten. Konfigurieren Sie diese Tools so, dass sie über das Security Tooling-Konto mit kontoübergreifendem Zugriff auf das Protokollarchiv-Konto arbeiten, sofern zutreffend. Erstellen Sie Subscriber in Amazon Security Lake, um diesen Tools Zugriff auf Ihre Daten zu erteilen.
-
Ressourcen
Zugehörige bewährte Methoden:
Zugehörige Dokumente:
Zugehörige Beispiele:
Zugehörige Tools:
