ステップ 1: AWS Security Incident Response を有効にして設定する

AWS Organizations 管理アカウントにアクセスできること。

AWS Organizations ですべての機能が有効化されていること。一括請求だけでは十分ではありません。

サービスコントロールポリシー (SCP) がサービスにリンクされたロールの作成をブロックしたり、AWS Security Incident Response アクションの使用を妨げたりしないこと。組織が制限付き SCP を使用している場合は、Security Incident Response サービスプリンシパルの security-ir:* アクションと iam:CreateServiceLinkedRole アクションを許可していることを確認してください。

セントラルメンバーシップアカウントとして使用するアカウントを特定していること。これは、メンバーシップの詳細の設定、インシデント対応チームの管理、セキュリティケースの作成と管理を行うアカウントです。お客様のインシデント対応スタッフはセキュリティインシデント対応エンジニアリングチームと連絡してアクティブなケースを管理するため、インシデント対応スタッフが既にアクセスできるアカウントを選択することをお勧めします。セキュリティアカウントの構造化に関するガイダンスについては、「AWS 規範ガイダンス」の「Security Reference Architecture」を参照してください。

AWS Security Incident Response を管理するための十分なアクセス許可があること。詳細については、「AWS Security Incident Response マネージドポリシー」を参照してください。

組織内の OU とアカウントにアクセスするためのサービルにリンクされたロールを作成します。

調査と対応を迅速化するためにログ (VPC フローログ、CloudTrail 管理イベント、S3 CloudTrail イベントなど) にアクセスして内容を確認します。

Amazon GuardDuty と AWS Security Hub CSPM からアラートを取り込み、抑制ルールを適用して重要な検出結果を自動的にエスカレーションします。これには、アカウントでの抑制フィルターとエスカレーションケースの作成が含まれます。