Mengandung

PDF

Respons Insiden Keamanan AWS bermitra dengan Anda untuk memuat acara. Anda dapat mengonfigurasi peran layanan Respons Insiden Keamanan AWS untuk mengambil tindakan otomatis dan manual di akun Anda sebagai respons terhadap peringatan. Anda juga dapat melakukan penahanan sendiri atau dalam kemitraan dengan hubungan pihak ketiga Anda dengan menggunakan dokumen SSM.

Bagian penting dari penahanan adalah pengambilan keputusan; seperti apakah akan mematikan sistem, mengisolasi sumber daya dari jaringan, mematikan akses, atau mengakhiri sesi. Keputusan ini dibuat lebih mudah ketika ada strategi dan prosedur yang telah ditentukan untuk menahan acara tersebut. Respons Insiden Keamanan AWS menyediakan strategi penahanan, memberi tahu Anda tentang dampak potensial, dan memandu Anda untuk memaksakan solusi hanya setelah Anda mempertimbangkan dan menyetujui risiko yang terlibat.

Respons Insiden Keamanan AWS mengeksekusi tindakan penahanan yang didukung atas nama Anda untuk mempercepat respons dan mengurangi waktu yang dimiliki pelaku ancaman untuk berpotensi menyebabkan kerusakan di lingkungan Anda. Kemampuan ini memungkinkan mitigasi ancaman yang teridentifikasi dengan lebih cepat, meminimalkan potensi dampak dan meningkatkan postur keamanan Anda secara keseluruhan. Ada opsi penahanan yang berbeda tergantung pada sumber daya yang dianalisis. Tindakan penahanan yang didukung adalah:

• EC2 Penahanan: Otomatisasi AWSSupport-ContainEC2Instance penahanan melakukan penahanan jaringan reversibel dari sebuah EC2 instance, membiarkan instance utuh dan berjalan, tetapi mengisolasinya dari aktivitas jaringan baru dan mencegahnya berkomunikasi dengan sumber daya di dalam dan di luar VPC Anda.

  penting

  Penting untuk dicatat bahwa koneksi yang dilacak yang ada tidak akan dimatikan sebagai akibat dari perubahan kelompok keamanan - hanya lalu lintas future yang akan diblokir secara efektif oleh grup keamanan baru dan dokumen SSM ini. Informasi lebih lanjut tersedia di bagian penahanan sumber dari panduan teknis layanan.

• Penahanan IAM: Otomatisasi AWSSupport-ContainIAMPrincipal penahanan melakukan penahanan jaringan reversibel dari pengguna atau peran IAM, meninggalkan pengguna atau peran dalam IAM, tetapi mengisolasinya dari berkomunikasi dengan sumber daya dalam akun Anda.

• Penahanan S3: Otomatisasi AWSSupport-ContainS3Resource penahanan melakukan penahanan yang dapat dibalik dari bucket S3, meninggalkan objek di bucket, dan mengisolasi bucket atau objek Amazon S3 dengan memodifikasi kebijakan aksesnya.

penting

Respons Insiden Keamanan AWS tidak mengaktifkan kemampuan penahanan secara default, untuk menjalankan tindakan penahanan ini, Anda harus terlebih dahulu memberikan izin yang diperlukan untuk layanan menggunakan peran. Anda dapat membuat peran ini secara individual per akun atau di seluruh organisasi Anda dengan Bekerja dengan AWS CloudFormation stacksets, yang membuat peran yang diperlukan.

Respons Insiden Keamanan AWS mendorong Anda untuk mempertimbangkan strategi penahanan untuk setiap jenis acara besar yang sesuai dengan selera risiko Anda. Dokumentasikan kriteria yang jelas untuk membantu pengambilan keputusan selama suatu acara. Kriteria yang perlu dipertimbangkan meliputi:

• Potensi kerusakan sumber daya

• Pelestarian bukti dan persyaratan peraturan

• Ketidaktersediaan layanan (misalnya, konektivitas jaringan, layanan yang diberikan kepada pihak eksternal)

• Waktu dan sumber daya yang dibutuhkan untuk mengimplementasikan strategi

• Efektivitas strategi (misalnya, penahanan sebagian vs penuh)

• Permanen solusi (misalnya, reversibel vs. ireversibel)

• Durasi solusi (misalnya, solusi darurat, solusi sementara, solusi permanen) Terapkan kontrol keamanan yang dapat menurunkan risiko dan memberikan waktu untuk menentukan dan menerapkan strategi penahanan yang lebih efektif.

Respons Insiden Keamanan AWS menyarankan pendekatan bertahap untuk mencapai penahanan yang efisien dan efektif, yang melibatkan strategi jangka pendek dan jangka panjang berdasarkan jenis sumber daya.

• Strategi penahanan

  • Dapat Respons Insiden Keamanan AWS mengidentifikasi ruang lingkup acara keamanan?

    • Jika ya, identifikasi semua sumber daya (pengguna, sistem, sumber daya).

    • Jika tidak, selidiki secara paralel dengan mengeksekusi langkah berikutnya pada sumber daya yang diidentifikasi.

  • Bisakah sumber daya diisolasi?

    • Jika ya, maka lanjutkan untuk mengisolasi sumber daya yang terpengaruh.

    • Jika tidak, maka bekerja dengan pemilik dan manajer sistem untuk menentukan tindakan lebih lanjut yang diperlukan untuk mengatasi masalah.

  • Apakah semua sumber daya yang terpengaruh terisolasi dari sumber daya yang tidak terpengaruh?

    • Jika ya, lanjutkan ke langkah berikutnya.

    • Jika tidak, maka teruslah mengisolasi sumber daya yang terkena dampak untuk menyelesaikan penahanan jangka pendek dan mencegah peristiwa meningkat lebih lanjut.

• Pencadangan sistem

  • Apakah salinan cadangan dari sistem yang terpengaruh dibuat untuk analisis lebih lanjut?

  • Apakah salinan forensik dienkripsi dan disimpan di lokasi yang aman?

    • Jika ya, lanjutkan ke langkah berikutnya.

    • Jika tidak, enkripsi gambar forensik, lalu simpan di lokasi yang aman untuk mencegah penggunaan, kerusakan, dan gangguan yang tidak disengaja.