Raccomandazioni di sicurezza per rispondere agli incidenti

Quando si verifica un evento di sicurezza nell'organizzazione, gli utenti devono essere pronti a rispondere al problema. Tutti gli utenti devono avere una conoscenza di base dei processi di risposta alla sicurezza dell'organizzazione. La pianificazione, la formazione e l'esperienza sono fondamentali per un programma di risposta agli incidenti di successo. Idealmente, preparate la vostra organizzazione prima che si verifichi un potenziale evento di sicurezza. Il AWS Well-Architected Framework identifica tre basi necessarie per un programma di risposta agli incidenti di successo nel cloud: preparazione, operazioni e attività post-incidente. Per ulteriori informazioni, vedere Aspetti della risposta agli AWS incidenti nel AWS Well-Architected Framework.

Ad eccezione dei controlli di sicurezza che notificano gli eventi o rispondono automaticamente ad essi, è possibile stabilire controlli limitati per la risposta agli incidenti. Una solida strategia di risposta agli incidenti viene stabilita principalmente attraverso i piani, i processi, i runbook, i playbook e i programmi di formazione utilizzati nell'organizzazione. È possibile utilizzare i controlli e i consigli in questa sezione per implementare le migliori pratiche per il programma di risposta agli incidenti. Per ulteriori informazioni sulle migliori pratiche per la risposta agli incidenti e le linee guida all'implementazione, vedere Incident response nel AWS Well-Architected Framework.

Definire un piano di risposta agli incidenti

Stabilire un piano di risposta agli incidenti (IRP) ben definito. Il piano di risposta agli incidenti è progettato per essere la base del programma di risposta agli incidenti. Questo piano deve essere personalizzato per soddisfare le esigenze di ogni organizzazione.

Per ulteriori informazioni, consulta le seguenti risorse:

• Sviluppa e testa un piano di risposta agli incidenti nella AWS Security Incident Response Guide

• Sviluppa piani di gestione degli incidenti nel AWS Well-Architected Framework

• Identifica il personale chiave e le risorse esterne nel AWS Well-Architected Framework

Crea e gestisci runbook e playbook di risposta agli incidenti

Una parte fondamentale della preparazione ai processi di risposta agli incidenti è lo sviluppo di playbook. I playbook di risposta agli incidenti forniscono una serie di passaggi consigliati che gli utenti devono seguire quando si verifica un evento di sicurezza. Avere una struttura e dei passaggi chiari semplifica la risposta e riduce la probabilità di errore umano.

Per ulteriori informazioni, consulta le seguenti risorse:

• Per cosa creare dei playbook nella AWS Security Incident Response Guide

• AWS esempi di playbook sulla risposta agli incidenti su GitHub

• Sviluppa e testa i playbook di risposta agli incidenti di sicurezza nel AWS Well-Architected Framework

Implementa l'automazione della sicurezza basata sugli eventi

L'automazione della risposta alla sicurezza è un'azione predefinita e programmata progettata per rispondere o porre rimedio automaticamente a un evento di sicurezza. Queste automazioni fungono da controlli di sicurezza investigativi o reattivi che aiutano a implementare le migliori pratiche di sicurezza. AWS Esempi di azioni di risposta automatizzate includono la modifica di un gruppo di sicurezza VPC, l'applicazione di patch a un'istanza EC2 Amazon o la rotazione delle credenziali.

Molti supportano le risposte automatiche. Servizi AWS Ad esempio, puoi configurare un CloudWatch allarme Amazon per parametri specifici e l'allarme può avviare un'azione quando l'allarme cambia stato. Tramite Amazon EventBridge, puoi anche configurare la risposta e la correzione automatiche per i risultati in Amazon AWS Security Hub Inspector.

Per ulteriori informazioni, consulta le seguenti risorse:

• Correggi automaticamente i risultati di sicurezza di Amazon Inspector nel AWS blog sulla sicurezza

• Inizia a utilizzare l'automazione della risposta alla sicurezza AWS nel Security Blog AWS

• Risposta di sicurezza automatizzata attiva AWS nella AWS Solutions Library

• Utilizzo degli CloudWatch allarmi Amazon nella documentazione CloudWatch

• Risposta e correzione automatizzate nella documentazione del Security Hub

• Creazione di risposte personalizzate ai risultati di Amazon Inspector con Amazon EventBridge nella documentazione di Amazon Inspector

Documenta in che modo i team operativi dovrebbero interagire Supporto

Per voi Account AWS, potete definire un contatto principale e tre contatti alternativi. Ti consigliamo di fornire un contatto di sicurezza per ciascuna Account AWS o per la tua organizzazione.

Supporto AWS offre una gamma di piani che forniscono l'accesso a strumenti e competenze in grado di supportare il successo e lo stato operativo delle AWS soluzioni. Inoltre, valuta se la tua organizzazione trarrebbe vantaggio dall'utilizzo di un piano AWS Managed Services anziché di un Supporto piano. AWS Managed Services (AMS) ti aiuta a operare in modo più efficiente e sicuro fornendo una gestione continua dell' AWS infrastruttura, tra cui monitoraggio, gestione degli incidenti, indicazioni sulla sicurezza, supporto patch e backup per i carichi di AWS lavoro. Il modello di supporto AMS può essere più adatto per le organizzazioni che dispongono di risorse limitate nei propri team operativi sul cloud. Ti consigliamo di confrontare questi modelli e piani per scegliere quello più adatto al caso d'uso della tua organizzazione e al livello di maturità del cloud.

Per ulteriori informazioni, consulta le seguenti risorse:

• Scopri i team di AWS risposta e il supporto nella AWS Security Incident Response Guide

• Aggiorna i tuoi contatti alternativi Account AWS nella Guida alla gestione AWS dell'account

• Confronta Supporto i piani sul sito web AWS

• Strategia AWS Managed Services da utilizzare per raggiungere i risultati aziendali prefissati in AWS Prescriptive Guidance

Configura gli avvisi per gli eventi di sicurezza

Il rilevamento di un'anomalia è importante quanto le misure implementate per controllarla. L'avviso è il componente principale della fase di rilevamento. Genera una notifica per avviare il processo di risposta all'incidente in base Account AWS all'attività di interesse. Assicurati che gli avvisi includano informazioni pertinenti per consentire al team di intervenire.

Per ulteriori informazioni, consulta le seguenti risorse:

• Rilevamento nella AWS Security Incident Response Guide

• Prepara le funzionalità forensi nel Well-Architected AWS Framework

• Implementa eventi di sicurezza utilizzabili nel Well-Architected AWS Framework