Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.
Contenir
Lorsque vous Réponse aux incidents de sécurité AWS identifiez une menace active dans votre environnement, la contenir est la priorité immédiate : empêcher l'auteur de la menace de causer de nouveaux dommages tout en préservant les preuves pour l'enquête. Le service gère le confinement grâce à des actions automatisées et réversibles qui isolent les ressources compromises sans les détruire. Pour activer ces fonctionnalités, vous devez d'abord configurer les autorisations et préférences requises. Consultez Déployer des rôles de confinement et de triage EC2.
Prise de décisions en matière
Un élément essentiel du confinement consiste à décider s'il faut arrêter un système, isoler une ressource du réseau, révoquer l'accès ou mettre fin à des sessions. Réponse aux incidents de sécurité AWS fournit la stratégie de confinement, vous informe de l'impact potentiel et vous guide dans la mise en œuvre de la solution uniquement après avoir pris en compte et accepté les risques encourus.
Ces décisions deviennent plus faciles lorsque vous avez des stratégies et des procédures prédéfinies. Le service utilise une combinaison de vos préférences de confinement (configurées lors de l'intégration), de la nature de la menace et d'une analyse en temps réel pour déterminer la réponse appropriée.
Actions de confinement prises en charge
Réponse aux incidents de sécurité AWS exécute des actions de confinement en votre nom afin de réduire le temps dont dispose l'acteur de la menace pour infliger des dégâts. Toutes les actions de confinement prises en charge sont réversibles. Le service peut restaurer la ressource dans son état d'avant le confinement une fois l'incident résolu. Les mesures de confinement concernent trois types de ressources :
Amazon EC2 containment (AWSSupport-ContainEC2Instance) assure un confinement réseau réversible d'une instance Amazon Elastic Compute Cloud (Amazon EC2). L'instance reste active et intacte, mais l'automatisation l'isole des nouvelles activités réseau et l'empêche de communiquer avec des ressources internes ou externes à votre Amazon VPC en remplaçant les groupes de sécurité de l'instance par un groupe de sécurité de confinement restrictif. Les connexions suivies existantes ne sont pas interrompues en raison de la modification des groupes de sécurité. Seul le trafic futur est bloqué.
IAM containment (AWSSupport-ContainIAMPrincipal) effectue un confinement réversible d'un utilisateur ou d'un rôle Gestion des identités et des accès AWS (IAM). Le principal reste dans IAM, mais l'automatisation l'empêche de communiquer avec les ressources de votre compte en y joignant une politique de refus de tout. Cela révoque effectivement la capacité du directeur à prendre des mesures tout en la préservant pour l'examen médico-légal.
Amazon S3 containment (AWSSupport-ContainS3Resource) effectue un confinement réversible d'un compartiment Amazon Simple Storage Service (Amazon S3). Les objets restent dans le compartiment, mais l'automatisation isole le compartiment ou l'objet en modifiant ses politiques d'accès afin de refuser tout accès externe.
Élaboration de votre stratégie de confinement
Envisagez des stratégies de confinement pour chaque type d'événement majeur qui correspondent à votre appétit pour le risque. Documentez des critères clairs pour faciliter la prise de décisions lors d'un événement. Les critères à prendre en compte sont les suivants :
Dommages potentiels aux ressources
Préservation des preuves et exigences réglementaires
Indisponibilité du service (par exemple, connectivité réseau ou services fournis à des tiers)
Temps et ressources nécessaires à la mise en œuvre de la stratégie
Efficacité de la stratégie (confinement partiel ou confinement total)
Permanence de la solution (réversible ou irréversible)
Durée de la solution (solution d'urgence, solution temporaire ou solution permanente)
Appliquez des contrôles de sécurité qui réduisent les risques et laissent le temps de définir et de mettre en œuvre une stratégie de confinement plus efficace.
Approche de confinement par étapes
Réponse aux incidents de sécurité AWS utilise une approche par étapes pour parvenir à un confinement efficient et efficace, impliquant des stratégies à court et à long terme basées sur le type de ressource. Short-termLe confinement se concentre sur l'arrêt immédiat de la menace active (isolation d'un réseau, révocation des informations d'identification), tandis que le confinement à long terme s'attaque à la cause première afin d'éviter qu'il ne se reproduise une fois le danger immédiat passé.
Comment le confinement est-il lié au cycle de vie des incidents
Le confinement se situe entre le cycle de vie de l'incident detection/analysis et son éradication. Une fois que le triage automatique a identifié une menace confirmée ou suspectée et qu'un cas a été créé, le service détermine si une action de confinement est justifiée en fonction de vos préférences et de la gravité de l'événement. Une fois qu'une ressource est contenue, Réponse aux incidents de sécurité AWS les ingénieurs poursuivent l'enquête, partagent les résultats avec vous et vous guident tout au long de l'éradication et de la restauration. Une fois l'incident complètement résolu, les mesures de confinement sont annulées et les opérations normales reprennent.
