Contenção
O AWS Security Incident Response é seu parceiro na contenção de eventos. Em resposta às descobertas de segurança, você pode configurar o serviço para realizar ações de contenção proativa em sua conta. Você também pode fazer a contenção por conta própria ou em parceria com entidades externas usando os documentos do SSM descritos em Ações de contenção compatíveis.
Importante
O AWS Security Incident Response não habilita os recursos de contenção por padrão.
São necessárias duas etapas para habilitar recursos de contenção proativa:
-
Conceda as permissões necessárias ao serviço usando perfis do IAM. Você pode criar esses perfis individualmente em cada conta ou para toda a organização trabalhando com os stacksets do AWS CloudFormation, que criam os perfis necessários.
-
Defina suas preferências de contenção conta a conta ou em toda a organização para autorizar ações de contenção proativas. As preferências em nível da conta têm precedência sobre as preferências em nível da organização. Isso pode ser feito criando um caso do AWS Support (Técnico: Serviço Security Incident Response/Outro). As preferências de contenção disponíveis são:
-
Aprovação necessária (padrão): não faça contenção proativa de nenhum recurso sem autorização explícita, caso a caso.
-
Conter confirmado: faça a contenção proativa de um recurso cujo comprometimento foi confirmado.
-
Conter suspeito: faça a contenção proativa de um recurso com grande probabilidade de estar comprometido, com base em análise realizada pelo AWS Security Incident Response Engineering.
-
