Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Contenere

Quando AWS Security Incident Response identifica una minaccia attiva nel tuo ambiente, il contenimento è la priorità immediata: impedisci all'autore della minaccia di causare ulteriori danni conservando al contempo le prove per le indagini. Il servizio esegue il contenimento tramite azioni reversibili e automatizzate che isolano le risorse compromesse senza distruggerle. Per abilitare queste funzionalità, è necessario innanzitutto configurare le autorizzazioni e le preferenze richieste. Per informazioni, consulta Implementa ruoli di contenimento e triage EC2.

Processo decisionale in materia di contenimento

Una parte essenziale del contenimento è decidere se spegnere un sistema, isolare una risorsa dalla rete, revocare l'accesso o terminare le sessioni. AWS Security Incident Response fornisce la strategia di contenimento, ti informa del potenziale impatto e ti guida nell'implementazione della soluzione solo dopo aver considerato e accettato i rischi connessi.

Queste decisioni diventano più facili quando si hanno strategie e procedure predeterminate. Il servizio utilizza una combinazione delle preferenze di contenimento (configurate durante l'onboarding), della natura della minaccia e dell'analisi in tempo reale per determinare la risposta appropriata.

Azioni di contenimento supportate

AWS Security Incident Response esegue azioni di contenimento per tuo conto per ridurre il tempo a disposizione di un aggressore per causare danni. Tutte le azioni di contenimento supportate sono reversibili. Il servizio può ripristinare la risorsa allo stato precedente al contenimento dopo la risoluzione dell'incidente. Le azioni di contenimento si basano su tre tipi di risorse:

Amazon EC2 containment (AWSSupport-ContainEC2Instance) esegue un contenimento reversibile della rete di un'istanza Amazon Elastic Compute Cloud (Amazon EC2). L'istanza rimane funzionante e intatta, ma l'automazione la isola dalle nuove attività di rete e le impedisce di comunicare con le risorse all'interno o all'esterno di Amazon VPC sostituendo i gruppi di sicurezza dell'istanza con un gruppo di sicurezza a contenimento restrittivo. Le connessioni tracciate esistenti non vengono interrotte a seguito della modifica dei gruppi di sicurezza. Viene bloccato solo il traffico futuro.

IAM containment (AWSSupport-ContainIAMPrincipal) esegue un contenimento reversibile di un utente o ruolo AWS Identity and Access Management (IAM). Il principale rimane in IAM, ma l'automazione lo isola dalla comunicazione con le risorse dell'account allegando una politica di negazione dell'accesso. Ciò revoca efficacemente la capacità del preside di intraprendere azioni, preservandola per la revisione forense.

Amazon S3 containment (AWSSupport-ContainS3Resource) esegue un contenimento reversibile di un bucket Amazon Simple Storage Service (Amazon S3). Gli oggetti rimangono nel bucket, ma l'automazione isola il bucket o l'oggetto modificandone le politiche di accesso per negare tutti gli accessi esterni.

Sviluppo della strategia di contenimento

Valuta le strategie di contenimento per ogni tipo di evento principale che rientrano nella tua propensione al rischio. Documenta criteri chiari per facilitare il processo decisionale durante un evento. I criteri da considerare includono quanto segue:

Applica controlli di sicurezza che riducano i rischi e concedano il tempo necessario per definire e implementare una strategia di contenimento più efficace.

Approccio al contenimento graduale

AWS Security Incident Response utilizza un approccio graduale per ottenere un contenimento efficiente ed efficace, che prevede strategie a breve e lungo termine basate sul tipo di risorsa. Short-termil contenimento si concentra sull'arresto immediato della minaccia attiva (isolamento di una rete, revoca delle credenziali), mentre il contenimento a lungo termine affronta la causa principale per prevenirne il ripetersi una volta passato il pericolo immediato.

In che modo il contenimento è correlato al ciclo di vita dell'incidente

Il contenimento si colloca tra il ciclo di vita dell' detection/analysis incidente e lo sradicamento. Dopo che il triage automatico ha identificato una minaccia confermata o sospetta e creato un caso, il servizio determina se l'azione di contenimento è giustificata in base alle preferenze dell'utente e alla gravità dell'evento. Una volta che una risorsa è stata contenuta, i AWS Security Incident Response tecnici continuano le indagini, condividono i risultati con voi e vi guidano nell'eliminazione e nel ripristino. Una volta risolto completamente l'incidente, le azioni di contenimento vengono annullate e le normali operazioni riprendono.