View a markdown version of this page

Automatisierte Bereitstellung — StackSets - Automatisierte Sicherheitsreaktion auf AWS
VoraussetzungenÜberblick über die Bereitstellung(Optional) Schritt 0: Starten Sie einen Integrationsstapel für das TicketsystemSchritt 1: Starten Sie den Admin-Stack im delegierten Security Hub-AdministratorkontoSchritt 2: Installieren Sie die Korrekturrollen in jedem AWS Security Hub-MitgliedskontoSchritt 3: Starten Sie den Member-Stack in jedem AWS Security Hub-Mitgliedskonto und jeder Region

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Automatisierte Bereitstellung — StackSets

Anmerkung

Wir empfehlen die Bereitstellung mit. StackSets Für Bereitstellungen mit einem einzelnen Konto oder zu Test- oder Evaluierungszwecken sollten Sie jedoch die Option „Stacks“ in Betracht ziehen.

Bevor Sie die Lösung auf den Markt bringen, sollten Sie sich mit der Architektur, den Lösungskomponenten sowie den Sicherheits- und Designaspekten vertraut machen, die in diesem Handbuch behandelt werden. Folgen Sie den schrittweisen Anweisungen in diesem Abschnitt, um die Lösung zu konfigurieren und in Ihren AWS-Organisationen bereitzustellen.

Bereitstellungszeit: Ungefähr 30 Minuten pro Konto, abhängig von den StackSet Parametern.

Voraussetzungen

https://aws.amazon.com/organizations/Mit AWS Organizations können Sie Ihre AWS-Umgebung und Ressourcen mit mehreren Konten zentral verwalten und verwalten. StackSets funktioniert am besten mit AWS Organizations.

Wenn Sie zuvor Version 1.3.x oder eine frühere Version dieser Lösung bereitgestellt haben, müssen Sie die vorhandene Lösung deinstallieren. Weitere Informationen finden Sie unter Lösung aktualisieren.

Bevor Sie diese Lösung bereitstellen, überprüfen Sie Ihre AWS Security Hub-Bereitstellung:

Bei diesem Verfahren wird davon ausgegangen, dass Sie mehrere Konten haben, die AWS Organizations verwenden, und dass Sie ein AWS Organizations-Administratorkonto und ein AWS Security Hub-Administratorkonto delegiert haben.

Diese Lösung funktioniert sowohl mit AWS Security Hub als auch mit AWS Security Hub CSPM.

Überblick über die Bereitstellung

Anmerkung

StackSets Bei der Bereitstellung dieser Lösung wird eine Kombination aus dienstverwaltetem und StackSets selbstverwaltetem System verwendet. Self-managed StackSets muss derzeit verwendet werden, da sie verschachtelte Stacks verwenden, die von Service-Managed noch nicht unterstützt werden. StackSets

Stellen Sie das StackSets über ein delegiertes Administratorkonto in Ihren AWS-Organisationen bereit.

Planung

Verwenden Sie das folgende Formular, um bei der StackSets Bereitstellung zu helfen. Bereiten Sie Ihre Daten vor und kopieren Sie dann die Werte und fügen Sie sie während der Bereitstellung ein.

AWS Organizations admin account ID: _______________
Security Hub admin account ID: _______________
CloudTrail Logs Group: ______________________________
Member account IDs (comma-separated list):
___________________,
___________________,
___________________,
___________________,
___________________
AWS Organizations OUs (comma-separated list):
___________________,
___________________,
___________________,
___________________,
___________________

(Optional) Schritt 0: Stellen Sie den Ticketing-Integrationsstapel bereit

  • Wenn Sie die Ticketing-Funktion verwenden möchten, stellen Sie zuerst den Ticketing-Integrationsstapel in Ihrem Security Hub-Administratorkonto bereit.

  • Kopieren Sie den Namen der Lambda-Funktion aus diesem Stack und geben Sie ihn als Eingabe für den Admin-Stack ein (siehe Schritt 1).

Schritt 1: Starten Sie den Admin-Stack im delegierten Security Hub-Administratorkonto

  • Starten Sie die automated-security-response-admin.template CloudFormation AWS-Vorlage mit einem selbstverwalteten StackSet Konto in Ihrem AWS Security Hub-Administratorkonto in derselben Region wie Ihr Security Hub-Administrator. Diese Vorlage verwendet verschachtelte Stapel.

  • Wählen Sie aus, welche Sicherheitsstandards installiert werden sollen. Standardmäßig ist nur SC ausgewählt (empfohlen).

  • Wählen Sie eine vorhandene Orchestrator-Protokollgruppe zur Verwendung aus. Wählen Sie ausYes, ob SO0111-ASR-Orchestrator bereits eine frühere Installation vorhanden ist.

  • Wählen Sie aus, ob die Web-Benutzeroberfläche der Lösung aktiviert werden soll. Wenn Sie diese Funktion aktivieren möchten, müssen Sie auch eine E-Mail-Adresse eingeben, der eine Administratorrolle zugewiesen werden soll.

  • Wählen Sie Ihre Einstellungen für die Erfassung von CloudWatch Kennzahlen zum Betriebszustand der Lösung.

Weitere Informationen zur Selbstverwaltung StackSets finden Sie im CloudFormation AWS-Benutzerhandbuch unter Gewähren selbstverwalteter Berechtigungen.

Schritt 2: Installieren Sie die Korrekturrollen in jedem AWS Security Hub-Mitgliedskonto

Warten Sie, bis Schritt 1 die Bereitstellung abgeschlossen hat, da die Vorlage in Schritt 2 auf die in Schritt 1 erstellten IAM-Rollen verweist.

  • Verwenden Sie einen Service Managed StackSet und starten Sie die automated-security-response-member-roles.template CloudFormation AWS-Vorlage in jedem Konto Ihrer AWS-Organisationen in einer einzelnen Region.

  • Wählen Sie, ob diese Vorlage automatisch installiert werden soll, wenn ein neues Konto der Organisation beitritt.

  • Geben Sie die Konto-ID Ihres AWS Security Hub-Administratorkontos ein.

  • Geben Sie einen Wert für einnamespace, der verwendet wird, um Konflikte zwischen Ressourcennamen und einer vorherigen oder gleichzeitigen Bereitstellung im selben Konto zu verhindern. Geben Sie eine Zeichenfolge mit bis zu 9 alphanumerischen Kleinbuchstaben ein.

Schritt 3: Starten Sie den Member-Stack in jedem AWS Security Hub-Mitgliedskonto und jeder Region

  • Starten Sie die automated-security-response-member.template CloudFormation AWS-Vorlage mithilfe der Funktion „Selbstverwaltung“ in allen Regionen StackSets, in denen Sie AWS-Ressourcen in jedem Konto Ihrer AWS-Organisation haben, die von demselben Security Hub-Administrator verwaltet werden.

    Anmerkung

    Solange der Service Managed keine verschachtelten Stacks StackSets unterstützt, müssen Sie diesen Schritt für alle neuen Konten ausführen, die der Organisation beitreten.

  • Wählen Sie aus, welche Security Standard-Playbooks installiert werden sollen.

  • Geben Sie den Namen einer CloudTrail Protokollgruppe an (wird bei einigen Problembehebungen verwendet).

  • Geben Sie die Konto-ID Ihres AWS Security Hub-Administratorkontos ein.

  • Geben Sie einen Wert für einnamespace, der verwendet wird, um Konflikte zwischen Ressourcennamen und einer vorherigen oder gleichzeitigen Bereitstellung im selben Konto zu verhindern. Geben Sie eine Zeichenfolge mit bis zu 9 alphanumerischen Kleinbuchstaben ein. Dies sollte dem namespace Wert entsprechen, den Sie für den Mitgliederrollenstapel ausgewählt haben. Außerdem muss der Namespace-Wert nicht für jedes Mitgliedskonto eindeutig sein.

(Optional) Schritt 0: Starten Sie einen Integrationsstapel für das Ticketsystem

  1. Wenn Sie die Ticketing-Funktion verwenden möchten, starten Sie zuerst den entsprechenden Integrations-Stack.

  2. Wählen Sie die bereitgestellten Integrationsstacks für Jira oder ServiceNow, oder verwenden Sie sie als Vorlage für die Implementierung Ihrer eigenen benutzerdefinierten Integration.

    So stellst du den Jira-Stack bereit:

    1. Geben Sie einen Namen für Ihren Stack ein.

    2. Geben Sie den URI für Ihre Jira-Instanz an.

    3. Geben Sie den Projektschlüssel für das Jira-Projekt an, an das Sie Tickets senden möchten.

    4. Erstellen Sie in AWS Secrets Manager ein neues Schlüsselwertgeheimnis, das Ihr Jira und enthält. Username Password

      Anmerkung

      Sie können sich dafür entscheiden, einen Jira-API-Schlüssel anstelle Ihres Passworts zu verwenden, indem Sie Ihren Benutzernamen als Username und Ihren API-Schlüssel als angeben. Password

    5. Füge den ARN dieses Secrets als Eingabe zum Stack hinzu.

      Geben Sie einen Stack-Namen, Jira-Projektinformationen und Jira-API-Anmeldeinformationen an.

      Konfiguration des Stacks für die Integration des Jira-Ticketsystems

      Jira-Feldkonfiguration:

      Nach der Bereitstellung des Jira-Stacks können Sie Jira-Ticketfelder anpassen, indem Sie die JIRA_FIELDS_MAPPING Umgebungsvariable in der Lambda-Funktion festlegen. Diese JSON-Zeichenfolge überschreibt die standardmäßigen Jira-Ticketfelder und muss der Jira-API-Feldstruktur folgen.

      Standardwerte, wenn sie leer JIRA_FIELDS_MAPPING ist oder Felder nicht angegeben sind:

      • Priorität: {"id": "3"} (Mittlere Priorität)

      • Problemtyp: {"id": "10006"} (Aufgabe)

      • accountID: Wird automatisch über den API-Endpunkt abgerufen GET /rest/api/2/myself

        Beispielkonfiguration mit benutzerdefinierten Feldern:

        {
  "reporter": {"accountId": "123456:494dcbff-1b80-482c-a89d-56ae81c145a4"},
  "priority": {"id": "1"},
  "issuetype": {"id": "10006"},
  "assignee": {"accountId": "123456:another-user-id"},
  "customfield_10001": "custom value"
}

        Allgemeine Jira-Feld-IDs:

      • Prioritäts-IDs: 1 (am höchsten), 2 (hoch), 3 (mittel), 4 (niedrig), 5 (am niedrigsten)

      • Problemtyp-ID: Variiert je nach Jira-Projekt (z. B. 10006 für Aufgabe)

      • Konto-ID: Format 123456:494dcbff-1b80-482c-a89d-56ae81c145a4

        Du kannst deine Jira-Feld-IDs und Account-IDs mithilfe der Jira-REST-API finden:

      • GET /rest/api/2/myselffür Konto-ID

      • GET /rest/api/2/priorityfür Prioritäts-IDs

      • GET /rest/api/2/project/{projectKey}für Problemtyp-IDs

        Weitere Informationen findest du im Jira REST API v2 Issue POST-Format.

        So stellen Sie den ServiceNow Stack bereit:

    6. Geben Sie einen Namen für Ihren Stack ein.

    7. Geben Sie den URI Ihrer ServiceNow Instanz an.

    8. Geben Sie Ihren ServiceNow Tabellennamen an.

    9. Erstellen Sie einen API-Schlüssel ServiceNow mit der Berechtigung, die Tabelle zu ändern, in die Sie schreiben möchten.

    10. Erstellen Sie im Secrets Manager ein Geheimnis mit dem Schlüssel API_Key und geben Sie den geheimen ARN als Eingabe für den Stack an.

      Geben Sie einen Stack-Namen, ServiceNow Projektinformationen und ServiceNow API-Anmeldeinformationen an.

      ServiceNow Konfiguration des Stacks für die Ticketsystemintegration

      So erstellen Sie einen benutzerdefinierten Integrationsstapel: Fügen Sie eine Lambda-Funktion hinzu, die die Step Functions des Solution Orchestrator für jede Problembehebung aufrufen können. Die Lambda-Funktion sollte die von Step Functions bereitgestellten Eingaben verwenden, eine Nutzlast gemäß den Anforderungen Ihres Ticketsystems erstellen und eine Anfrage an Ihr System richten, um das Ticket zu erstellen.

Schritt 1: Starten Sie den Admin-Stack im delegierten Security Hub-Administratorkonto

  1. Starten Sie den Admin-Stack mit Ihrem Security Hub-Administratorkonto. automated-security-response-admin.template In der Regel eine pro Organisation in einer einzigen Region. Da dieser Stapel verschachtelte Stapel verwendet, müssen Sie diese Vorlage als selbstverwaltete Vorlage bereitstellen. StackSet

Parameters

Parameter Standard Description

Laden Sie den SC Admin Stack

yes

Geben Sie an, ob die Admin-Komponenten für die automatische Korrektur von SC-Steuerelementen installiert werden sollen.

Laden Sie den AFSBP-Admin-Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Korrektur von FSBP-Steuerelementen installiert werden sollen.

Laden Sie den CIS120 Admin Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Behebung von CIS120-Steuerelementen installiert werden sollen.

Laden Sie den CIS140 Admin Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Behebung von CIS140-Steuerelementen installiert werden sollen.

Laden Sie den CIS300 Admin Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Behebung der CIS300-Steuerelemente installiert werden sollen.

Laden Sie den PCI321 Admin Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Behebung von PCI321-Steuerelementen installiert werden sollen.

Laden Sie den NIST Admin Stack

no

Geben Sie an, ob die Admin-Komponenten für die automatische Korrektur von NIST-Steuerelementen installiert werden sollen.

Orchestrator-Protokollgruppe wiederverwenden

no

Wählen Sie aus, ob eine vorhandene SO0111-ASR-Orchestrator CloudWatch Protokollgruppe wiederverwendet werden soll oder nicht. Dies vereinfacht die Neuinstallation und Upgrades, ohne dass die Protokolldaten einer früheren Version verloren gehen. Bestehende wiederverwenden Orchestrator Log Group Wählen Sie aus, yes ob die aus einer früheren Bereitstellung in diesem Konto Orchestrator Log Group noch vorhanden ist, andernfallsno. Wenn Sie ein Stack-Update von einer früheren Version als v2.3.0 durchführen, wählen Sie no

ShouldDeployWebUI

yes

Stellen Sie die Komponenten der Web-Benutzeroberfläche bereit, einschließlich API Gateway, Lambda-Funktionen und Distribution. CloudFront Wählen Sie „Ja“, um die webbasierte Benutzeroberfläche zur Anzeige der Ergebnisse und des Behebungsstatus zu aktivieren. Wenn Sie diese Funktion deaktivieren, können Sie weiterhin automatische Problembehebungen konfigurieren und mithilfe der benutzerdefinierten Security Hub CSPM-Aktion Abhilfemaßnahmen bei Bedarf ausführen.

AdminUserEmail

(Optionale Eingabe)

E-Mail-Adresse für den ersten Admin-Benutzer. Dieser Benutzer wird vollen Administratorzugriff auf die ASR-Webbenutzeroberfläche haben. Nur erforderlich, wenn die Web-Benutzeroberfläche aktiviert ist.

Verwenden Sie CloudWatch Metriken

yes

Geben Sie an, ob CloudWatch Metriken für die Überwachung der Lösung aktiviert werden sollen. Dadurch wird ein CloudWatch Dashboard zum Anzeigen von Metriken erstellt.

Verwenden Sie CloudWatch Metrik-Alarme

yes

Geben Sie an, ob CloudWatch Metrikalarme für die Lösung aktiviert werden sollen. Dadurch werden Alarme für bestimmte Metriken erstellt, die von der Lösung erfasst wurden.

RemediationFailureAlarmThreshold

5

Geben Sie den Schwellenwert für den Prozentsatz der Fehlschläge bei der Problembehebung pro Kontroll-ID an. Wenn Sie beispielsweise eingeben, erhalten Sie einen Alarm5, wenn eine Kontroll-ID an einem bestimmten Tag bei mehr als 5% der Behebungen fehlschlägt.

Dieser Parameter funktioniert nur, wenn Alarme erstellt werden (siehe Parameter CloudWatch Metrik-Alarme verwenden).

EnableEnhancedCloudWatchMetrics

no

Wennyes, erstellt zusätzliche CloudWatch Metriken, um alle Kontroll-IDs einzeln im CloudWatch Dashboard und als CloudWatch Alarme zu verfolgen.

Im Abschnitt Kosten finden Sie Informationen zu den zusätzlichen Kosten, die dadurch entstehen.

TicketGenFunctionName

(Optionale Eingabe)

Optional. Lassen Sie das Feld leer, wenn Sie kein Ticketsystem integrieren möchten. Geben Sie andernfalls den Namen der Lambda-Funktion aus der Stack-Ausgabe von Schritt 0 an, zum Beispiel:. SO0111-ASR-ServiceNow-TicketGenerator

Optionen konfigurieren StackSet

Seite „ StackSet Optionen konfigurieren“

  1. Geben Sie für den Parameter Kontonummern die Konto-ID des AWS Security Hub-Administratorkontos ein.

  2. Wählen Sie für den Parameter Regionen angeben nur die Region aus, in der der Security Hub-Administrator aktiviert ist. Warten Sie, bis dieser Schritt abgeschlossen ist, bevor Sie mit Schritt 2 fortfahren.

    Sie können den Status des StackSet Vorgangs in der CloudFormation AWS-Konsole auf der StackSet Detailseite einsehen. In etwa 15 Minuten sollten Sie den Betriebsstatus ERFOLGREICH erhalten.

Schritt 2: Installieren Sie die Korrekturrollen in jedem AWS Security Hub-Mitgliedskonto

Verwenden Sie einen Service Managed StackSets , um die Vorlage für Mitgliederrollen bereitzustellen,. automated-security-response-member-roles.template Dies StackSet muss in einer Region pro Mitgliedskonto bereitgestellt werden. Es definiert die globalen Rollen, die kontoübergreifende API-Aufrufe von der ASR Orchestrator-Schrittfunktion aus ermöglichen.

Parameters

Parameter Standard Description

Namespace

<Requires input>

Geben Sie eine Zeichenfolge mit bis zu 9 alphanumerischen Kleinbuchstaben ein. Eindeutiger Namespace, der als Suffix zu den IAM-Rollennamen für die Problembehebung hinzugefügt wird. Derselbe Namespace sollte in den Mitgliederrollen und Mitglieds-Stacks verwendet werden. Diese Zeichenfolge sollte für jede Lösungsbereitstellung eindeutig sein, muss aber bei Stack-Updates nicht geändert werden. Der Namespace-Wert muss nicht für jedes Mitgliedskonto eindeutig sein.

Sec Hub-Administratorkonto

<Requires input>

Geben Sie die 12-stellige Konto-ID für das AWS Security Hub-Administratorkonto ein. Dieser Wert gewährt Berechtigungen für die Lösungsrolle des Administratorkontos.

  1. Stellen Sie die Bereitstellung gemäß den Richtlinien Ihrer Organisation für die gesamte Organisation (in der Regel) oder für Organisationseinheiten bereit.

  2. Aktivieren Sie die automatische Bereitstellung, damit neue Konten in den AWS-Organisationen diese Berechtigungen erhalten.

  3. Wählen Sie für den Parameter Regionen angeben eine einzelne Region aus. IAM-Rollen sind global. Während der StackSet Bereitstellung können Sie mit Schritt 3 fortfahren.

    Sie können den Status des StackSet Vorgangs in der CloudFormation AWS-Konsole auf der StackSet Detailseite einsehen. Sie sollten in etwa 5 Minuten den Betriebsstatus ERFOLGREICH erhalten.

    Geben Sie StackSet Details an

    Seite mit den StackSet Details angeben

Schritt 3: Starten Sie den Member-Stack in jedem AWS Security Hub-Mitgliedskonto und jeder Region

Da der Mitglieds-Stack verschachtelte Stacks verwendet, müssen Sie ihn als selbstverwalteter Stack bereitstellen. StackSet Dies unterstützt keine automatische Bereitstellung für neue Konten in der AWS-Organisation.

Parameters

Parameter Standard Description

Geben Sie den Namen des LogGroup an, der zum Erstellen von Metrikfiltern und Alarmen verwendet werden soll

<Requires input>

Geben Sie den Namen einer CloudWatch Logs-Gruppe an, in der API-Aufrufe CloudTrail protokolliert werden. Dies wird für CIS 3.1-3.14-Korrekturen verwendet.

SC Member Stack laden

yes

Geben Sie an, ob die Mitgliedskomponenten für die automatische Behebung von SC-Steuerelementen installiert werden sollen.

Laden Sie den AFSBP Member Stack

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Korrektur von FSBP-Steuerelementen installiert werden sollen.

Laden Sie den CIS120 Member Stack

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Wiederherstellung der CIS120-Steuerelemente installiert werden sollen.

Laden Sie den CIS140 Member Stack

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Wartung von CIS140-Steuerelementen installiert werden sollen.

Laden Sie den CIS300 Member Stack

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Wiederherstellung der CIS300-Steuerelemente installiert werden sollen.

Laden Sie den PCI321 Member Stack

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Wartung von PCI321-Steuerelementen installiert werden sollen.

Laden Sie den NIST-Mitgliedsstapel

no

Geben Sie an, ob die Mitgliedskomponenten für die automatische Korrektur von NIST-Steuerelementen installiert werden sollen.

Erstellen Sie einen S3-Bucket für Redshift Audit Logging

no

Wählen Sieyes, ob Sie den S3-Bucket für die RedShift.4 FSBP-Problembehebung erstellen möchten. Einzelheiten zum S3-Bucket und zur Problembehebung finden Sie im Redshift.4 AWS Security Hub-Benutzerhandbuch.

Sec Hub-Administratorkonto

<Requires input>

Geben Sie die 12-stellige Konto-ID für das AWS Security Hub-Administratorkonto ein.

Namespace

<Requires input>

Geben Sie eine Zeichenfolge mit bis zu 9 alphanumerischen Kleinbuchstaben ein. Diese Zeichenfolge wird Teil der IAM-Rollennamen und des Action Log S3-Buckets. Verwenden Sie denselben Wert für die Bereitstellung von Mitglieds-Stacks und die Bereitstellung von Mitgliedsrollen-Stacks. Die Zeichenfolge sollte für jede Lösungsbereitstellung eindeutig sein, muss aber bei Stack-Updates nicht geändert werden.

EnableCloudTrailForASRActionLog

no

Wählen Sie aus, yes ob Sie die von der Lösung durchgeführten Verwaltungsereignisse im CloudWatch Dashboard überwachen möchten. Die Lösung erstellt in jedem Mitgliedskonto, das Sie auswählen, einen CloudTrail Pfadyes. Sie müssen die Lösung in einer AWS-Organisation bereitstellen, um diese Funktion zu aktivieren. Darüber hinaus können Sie diese Funktion nur in einer einzigen Region innerhalb desselben Kontos aktivieren. Im Abschnitt Kosten finden Sie Informationen zu den zusätzlichen Kosten, die dadurch entstehen.

Konten

Seite zur Konfiguration der Kontenbereitstellung

Bereitstellungsorte: Sie können eine Liste mit Kontonummern oder Organisationseinheiten angeben.

Regionen angeben: Wählen Sie alle Regionen aus, in denen Sie die Ergebnisse korrigieren möchten. Sie können die Bereitstellungsoptionen entsprechend der Anzahl der Konten und Regionen anpassen. Die Parallelität der Regionen kann parallel sein.

Sie können den Status des StackSet Vorgangs in der CloudFormation AWS-Konsole auf der StackSet Detailseite einsehen. Sie sollten für jede Kombination aus Konto und Region den Betriebsstatus ERFOLGREICH erhalten. Die Bereitstellungszeit variiert je nach Anzahl der ausgewählten Konten und Regionen.