Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
SEC10-BP04 Développer et tester des playbooks de réponse aux incidents de sécurité
L’élaboration de playbooks est une étape clé de la préparation de vos processus de réponse aux incidents. Les playbooks de réponse aux incidents fournissent des recommandations et les étapes à suivre en cas d’événement de sécurité. Le fait de disposer d’une structure et d’étapes claires simplifie la réponse et réduit le risque d’erreur humaine.
Niveau de risque encouru si cette bonne pratique n’est pas respectée : moyen
Directives d’implémentation
Il est recommandé de créer des playbooks dans les scénarios d’incidents suivants :
-
Incidents prévus : créez des playbooks pour les incidents que vous anticipez. Cela inclut des menaces telles que le déni de service (DoS), les rançongiciels et la compromission des informations d’identification.
-
Constatations ou alertes de sécurité connues : créez des playbooks pour vos résultats et alertes de sécurité connus, tels que les résultats d’Amazon GuardDuty. Lorsque vous recevez un résultat de GuardDuty, le playbook doit indiquer des étapes claires pour éviter de mal gérer ou d’ignorer l’alerte. Pour plus de détails et de conseils de correction, consultez Correction des problèmes de sécurité découverts par GuardDuty.
Les playbooks doivent contenir les étapes techniques qu’un analyste de sécurité doit suivre afin d’enquêter de manière adéquate et de répondre à un éventuel incident de sécurité.
Étapes d’implémentation
Les éléments à inclure dans un playbook incluent :
-
Présentation du Playbook : quel scénario de risque ou d’incident ce playbook aborde-t-il ? Quel est l’objectif du playbook ?
-
Préréquis : quels journaux, mécanismes de détection et outils automatisés sont requis pour ce scénario d’incident ? Quelle est la notification attendue ?
-
Informations de communication et d’escalade : qui est impliqué et quelles sont ses coordonnées ? Quelles sont les responsabilités de chacune des parties prenantes ?
-
Étapes d’intervention : quelles sont les mesures tactiques à prendre au cours des différentes phases de la réponse à un incident ? Quelles requêtes un analyste doit-il exécuter ? Quel code doit être exécuté pour obtenir le résultat souhaité ?
-
Détection : comment l’incident sera-t-il détecté ?
-
Analyse : comment l’étendue de l’impact sera-t-elle déterminée ?
-
Contenu : comment l’incident sera-t-il isolé pour en limiter la portée ?
-
Éradication : comment éliminer la menace de l’environnement ?
-
Remise : comment le système ou la ressource concernés seront-ils remis en production ?
-
-
Résultats escomptés : une fois les requêtes et le code exécutés, quel est le résultat attendu du playbook ?
Ressources
Bonnes pratiques Well-Architected connexes :
Documents connexes :
