Rekomendasi keamanan untuk menanggapi insiden

Ketika peristiwa keamanan terjadi di organisasi Anda, pengguna Anda harus siap untuk menanggapi masalah tersebut. Semua pengguna harus memiliki pemahaman dasar tentang proses respons keamanan organisasi Anda. Perencanaan, pelatihan, dan pengalaman sangat penting untuk program respons insiden yang sukses. Idealnya, Anda mempersiapkan organisasi Anda sebelum peristiwa keamanan potensial terjadi. AWS Well-Architected Framework mengidentifikasi tiga fondasi yang diperlukan untuk program respons insiden yang sukses di cloud: persiapan, operasi, dan aktivitas pasca-insiden. Untuk informasi lebih lanjut, lihat Aspek respons AWS insiden dalam Kerangka AWS Well-Architected.

Dengan pengecualian kontrol keamanan yang memberi tahu Anda tentang peristiwa atau meresponsnya secara otomatis, ada kontrol terbatas yang dapat Anda buat untuk respons insiden. Postur respons insiden yang kuat terutama dibuat melalui rencana, proses, runbook, buku pedoman, dan program pelatihan yang Anda gunakan dalam organisasi Anda. Anda dapat menggunakan kontrol dan rekomendasi di bagian ini untuk menerapkan praktik terbaik untuk program respons insiden Anda. Untuk informasi lebih lanjut tentang praktik terbaik untuk respons insiden dan panduan implementasi, lihat Respons insiden dalam Kerangka Kerja AWS Well-Architected.

Tentukan rencana respons insiden

Buat rencana respons insiden (IRP) yang terdefinisi dengan baik. Rencana respons insiden dirancang untuk menjadi dasar bagi program respons insiden Anda. Rencana ini harus disesuaikan untuk memenuhi kebutuhan masing-masing organisasi.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• Kembangkan dan uji rencana respons insiden di Panduan Respons Insiden AWS Keamanan

• Mengembangkan rencana manajemen insiden dalam AWS Well-Architected Framework

• Identifikasi personel kunci dan sumber daya eksternal dalam AWS Well-Architected Framework

Membuat dan memelihara runbook dan buku pedoman respons insiden

Bagian penting dari mempersiapkan proses respons insiden adalah mengembangkan buku pedoman. Buku pedoman respons insiden menyediakan serangkaian langkah yang direkomendasikan yang diikuti pengguna saat peristiwa keamanan terjadi. Memiliki struktur dan langkah yang jelas menyederhanakan respons dan mengurangi kemungkinan kesalahan manusia.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• Untuk apa membuat buku pedoman di Panduan Respons Insiden AWS Keamanan

• AWS contoh pedoman respons insiden pada GitHub

• Mengembangkan dan menguji pedoman respons insiden keamanan di AWS Well-Architected Framework

Menerapkan otomatisasi keamanan berbasis peristiwa

Otomatisasi respons keamanan adalah tindakan yang telah ditentukan dan diprogram yang dirancang untuk secara otomatis merespons atau memulihkan peristiwa keamanan. Otomatisasi ini berfungsi sebagai kontrol keamanan detektif atau responsif yang membantu Anda menerapkan praktik terbaik AWS keamanan. Contoh tindakan respons otomatis termasuk memodifikasi grup keamanan VPC, menambal instans EC2 Amazon, atau memutar kredensi.

Banyak yang Layanan AWS mendukung tanggapan otomatis. Misalnya, Anda dapat mengonfigurasi CloudWatch alarm Amazon untuk metrik tertentu, dan alarm dapat memulai tindakan saat alarm berubah status. Melalui Amazon EventBridge, Anda juga dapat mengonfigurasi respons dan remediasi otomatis untuk temuan di AWS Security Hub dan Amazon Inspector.

Untuk informasi lebih lanjut, silakan lihat sumber daya di bawah ini:

• Memulihkan temuan keamanan Amazon Inspector secara otomatis di AWS Blog Keamanan

• Memulai otomatisasi respons keamanan AWS di Blog AWS Keamanan

• Respons keamanan otomatis AWS aktif di Perpustakaan AWS Solusi

• Menggunakan CloudWatch alarm Amazon dalam dokumentasi CloudWatch

• Respons dan remediasi otomatis dalam dokumentasi Security Hub

• Membuat tanggapan khusus terhadap temuan Amazon Inspector dengan Amazon EventBridge dalam dokumentasi Amazon Inspector

Dokumentasikan bagaimana tim operasional harus terlibat Dukungan

Untuk Anda Akun AWS, Anda dapat menentukan kontak utama dan tiga kontak alternatif. Kami menyarankan Anda memberikan kontak keamanan untuk masing-masing Akun AWS atau untuk organisasi Anda.

AWS Dukungan menawarkan berbagai rencana yang menyediakan akses ke alat dan keahlian yang dapat mendukung keberhasilan dan kesehatan operasional AWS solusi. Juga, pertimbangkan apakah organisasi Anda akan mendapat manfaat dari menggunakan AWS Managed Services alih-alih Dukungan rencana. AWS Managed Services (AMS) membantu Anda beroperasi lebih efisien dan aman dengan menyediakan pengelolaan AWS infrastruktur yang berkelanjutan, termasuk pemantauan, manajemen insiden, panduan keamanan, dukungan patch, dan pencadangan untuk beban AWS kerja. Model dukungan AMS dapat lebih cocok untuk organisasi yang memiliki sumber daya terbatas pada tim operasi cloud mereka. Kami menyarankan Anda membandingkan model dan rencana ini untuk memilih yang paling sesuai untuk kasus penggunaan organisasi dan tingkat kematangan cloud Anda.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• Memahami tim AWS respons dan dukungan dalam Panduan Respons Insiden AWS Keamanan

• Perbarui kontak alternatif untuk Anda Akun AWS di Panduan Manajemen AWS Akun

• Bandingkan Dukungan Paket di situs AWS web

• Strategi penggunaan AWS Managed Services untuk mencapai target hasil bisnis dalam Panduan AWS Preskriptif

Konfigurasikan peringatan untuk acara keamanan

Mendeteksi kelainan sama pentingnya dengan tindakan yang diterapkan untuk mengendalikan kelainan itu. Peringatan adalah komponen utama dari fase deteksi. Ini menghasilkan pemberitahuan untuk memulai proses respons insiden berdasarkan Akun AWS aktivitas yang menarik. Pastikan bahwa peringatan menyertakan informasi yang relevan bagi tim untuk mengambil tindakan.

Untuk informasi selengkapnya, lihat sumber daya berikut:

• Deteksi dalam Panduan Respons Insiden AWS Keamanan

• Mempersiapkan kemampuan forensik dalam AWS Well-Architected Framework

• Menerapkan peristiwa keamanan yang dapat ditindaklanjuti dalam Kerangka Well-Architected AWS