View a markdown version of this page

Implantação automatizada - Stacks - Resposta de segurança automatizada na AWS
Pré-requisitosVisão geral da implantação(Opcional) Etapa 0: Inicie uma pilha de integração do sistema de ticketsEtapa 1: inicie a pilha de administraçãoEtapa 2: Instalar as funções de remediação em cada conta de membro do AWS Security HubEtapa 3: iniciar a pilha de membrosEtapa 4: (Opcional) Ajustar as correções disponíveis

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Implantação automatizada - Stacks

nota

Para clientes com várias contas, é altamente recomendável implantar com StackSets.

Antes de lançar a solução, revise a arquitetura, os componentes da solução, a segurança e as considerações de design discutidas neste guia. Siga as instruções passo a passo nesta seção para configurar e implantar a solução em sua conta.

Tempo de implantação: Aproximadamente 30 minutos

Pré-requisitos

Antes de implantar essa solução, certifique-se de que o AWS Security Hub esteja na mesma região da AWS que suas contas primárias e secundárias. Se você já implantou essa solução, deverá desinstalar a solução existente. Para obter mais informações, consulte Atualizar a solução.

Visão geral da implantação

Use as etapas a seguir para implantar essa solução na AWS.

(Opcional) Etapa 0: Inicie uma pilha de integração do sistema de tickets

  • Se você pretende usar o recurso de emissão de tíquetes, implante primeiro a pilha de integração de tíquetes em sua conta de administrador do Security Hub.

  • Copie o nome da função Lambda dessa pilha e forneça-o como entrada para a pilha admin (consulte a Etapa 1).

Etapa 1: inicie a pilha de administração

  • Inicie o CloudFormation modelo automated-security-response-admin.template da AWS em sua conta de administrador do AWS Security Hub.

  • Escolha quais padrões de segurança instalar.

  • Escolha um grupo de log existente do Orchestrator para usar (escolha Yes se SO0111-ASR-Orchestrator já existe em uma instalação anterior).

Etapa 2: instalar as funções de remediação em cada conta de membro do AWS Security Hub

  • Inicie o CloudFormation modelo automated-security-response-member-roles.template da AWS em uma região por conta de membro.

  • Insira o ID da conta de 12 dígitos para a conta de administrador do AWS Security Hub.

Etapa 3: iniciar a pilha de membros

  • Especifique o nome do grupo CloudWatch Logs a ser usado com as remediações do CIS 3.1-3.14. Deve ser o nome de um grupo de CloudWatch registros que recebe CloudTrail registros.

  • Escolha se deseja instalar as funções de remediação. Instale essas funções somente uma vez para cada conta.

  • Escolha quais manuais instalar.

  • Insira o ID da conta de administrador do AWS Security Hub.

Etapa 4: (Opcional) Ajustar as correções disponíveis

  • Remova todas as correções com base em cada conta de membro. Esta etapa é opcional.

(Opcional) Etapa 0: Inicie uma pilha de integração do sistema de tickets

  1. Se você pretende usar o recurso de emissão de tíquetes, inicie primeiro a respectiva pilha de integração.

  2. Escolha as pilhas de integração fornecidas para o Jira ou ServiceNow use-as como um plano para implementar sua própria integração personalizada.

    Para implantar a pilha do Jira:

    1. Insira um nome para sua pilha.

    2. Forneça o URI para sua instância do Jira.

    3. Forneça a chave do projeto do Jira para o qual você deseja enviar tickets.

    4. Crie um novo segredo de valor-chave no Secrets Manager que contém seu Jira e. Username Password

      nota

      Você pode optar por usar uma chave de API do Jira no lugar de sua senha fornecendo seu nome de usuário como Username e sua chave de API como a. Password

    5. Adicione o ARN desse segredo como entrada na pilha.

      Forneça um nome de pilha, informações do projeto Jira e credenciais da API do Jira.

      Configuração da pilha de integração do sistema de tickets Jira

      Configuração de campo do Jira:

      Para obter informações sobre como personalizar os campos de ticket do Jira, consulte a seção Configuração de campo do Jira na Etapa 0 da implantação. StackSet

      Para implantar a ServiceNow pilha:

    6. Insira um nome para sua pilha.

    7. Forneça o URI da sua ServiceNow instância.

    8. Forneça o nome ServiceNow da sua tabela.

    9. Crie uma chave de API ServiceNow com permissão para modificar a tabela na qual você pretende gravar.

    10. Crie um segredo no Secrets Manager com a chave API_Key e forneça o ARN secreto como entrada para a pilha.

      Forneça um nome de pilha, informações ServiceNow do projeto e credenciais ServiceNow da API.

      ServiceNow configuração da pilha de integração do sistema de tickets

      Para criar uma pilha de integração personalizada: inclua uma função do Lambda que o orquestrador de soluções Step Functions possa chamar para cada remediação. A função Lambda deve receber a entrada fornecida pelo Step Functions, construir uma carga útil de acordo com os requisitos do seu sistema de emissão de tíquetes e fazer uma solicitação ao sistema para criar o tíquete.

Etapa 1: inicie a pilha de administração

Importante

Essa solução inclui coleta de dados. Usamos esses dados para entender melhor como os clientes usam essa solução e os serviços e produtos relacionados. A AWS é proprietária dos dados coletados por meio dessa pesquisa. A coleta de dados está sujeita ao Aviso de Privacidade da AWS.

Esse CloudFormation modelo automatizado da AWS implanta a solução Automated Security Response on AWS na Nuvem AWS. Antes de iniciar a pilha, você deve habilitar o Security Hub e preencher os Pré-requisitos pré-requisitos.

nota

Você é responsável pelo custo dos serviços da AWS usados ao executar essa solução. Para obter mais detalhes, consulte a seção Custos neste guia e consulte a página de preços de cada serviço da AWS usado nesta solução.

  1. Faça login no AWS Management Console a partir da conta em que o AWS Security Hub está configurado atualmente e escolha o botão abaixo para iniciar o CloudFormation modelo automated-security-response-admin.template da AWS.

    automated-security-response-admin-template launch button

    Também é possível fazer download do modelo para usá-lo como ponto de partida para a sua própria implantação.

  2. Por padrão, esse modelo é iniciado na região Leste dos EUA (Norte da Virgínia). Para lançar essa solução em uma região diferente da AWS, use o seletor de regiões na barra de navegação do AWS Management Console.

    nota

    Essa solução usa o AWS Systems Manager, que atualmente está disponível somente em regiões específicas da AWS. A solução funciona em todas as regiões que oferecem suporte a esse serviço. Para obter a disponibilidade mais atual por região, consulte a Lista de serviços regionais da AWS.

  3. Na página Criar pilha, verifique se o URL do modelo correto está na caixa de texto URL do Amazon S3 e escolha Avançar.

  4. Na página Especificar detalhes da pilha, atribua um nome para a sua pilha de soluções. Para obter informações sobre as limitações de nomenclatura de caracteres, consulte os limites do IAM e do STS no Guia do usuário do AWS Identity and Access Management.

  5. Na página Parâmetros, escolha Avançar.

    Parâmetro Padrão Description

    Carregar SC Admin Stack

    yes

    Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles SC.

    Carregar pilha de administração do AFSBP

    no

    Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles FSBP.

    Carregar o CIS120 Admin Stack

    no

    Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS120.

    Carregar o CIS140 Admin Stack

    no

    Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS140.

    Carregar o CIS300 Admin Stack

    no

    Especifique se deseja instalar os componentes administrativos para remediação automatizada dos controles CIS300.

    Carregar a pilha de administração PCI321

    no

    Especifique se deseja instalar os componentes administrativos para remediação automática dos controles PCI321.

    Carregar o NIST Admin Stack

    no

    Especifique se deseja instalar os componentes administrativos para remediação automática dos controles do NIST.

    Reutilize o grupo de registros do Orchestrator

    no

    Selecione se deseja ou não reutilizar um grupo de SO0111-ASR-Orchestrator CloudWatch registros existente. Isso simplifica a reinstalação e as atualizações sem perder os dados de registro de uma versão anterior. Reutilize o existente, Orchestrator Log Group escolha yes se Orchestrator Log Group ainda existe de uma implantação anterior nessa conta, caso contráriono. Se você estiver executando uma atualização de pilha a partir de uma versão anterior à v2.3.0, escolha no

    ShouldDeployWebUI

    yes

    Implante os componentes da interface do usuário da Web, incluindo API Gateway, funções do Lambda e CloudFront distribuição. Escolha “sim” para ativar a interface de usuário baseada na web para visualizar as descobertas e o status da remediação.

    AdminUserEmail

    (Entrada opcional)

    Endereço de e-mail do usuário administrador inicial. Esse usuário terá acesso administrativo total à interface de usuário da Web do ASR. Obrigatório somente quando a interface de usuário da Web está ativada.

    Use CloudWatch métricas

    yes

    Especifique se deseja ativar o CloudWatch Metrics para monitorar a solução. Isso criará um CloudWatch painel para visualizar as métricas.

    Use CloudWatch alarmes de métricas

    yes

    Especifique se deseja ativar os Alarmes de CloudWatch Métricas para a solução. Isso criará alarmes para determinadas métricas coletadas pela solução.

    RemediationFailureAlarmThreshold

    5

    Especifique o limite para a porcentagem de falhas de remediação por ID de controle. Por exemplo, se você digitar5, receberá um alarme se uma ID de controle falhar em mais de 5% das remediações em um determinado dia.

    Esse parâmetro funciona somente se alarmes forem criados (consulte o parâmetro Use CloudWatch Metrics Alarms).

    EnableEnhancedCloudWatchMetrics

    no

    Seyes, cria CloudWatch métricas adicionais para rastrear todos os IDs de controle individualmente no CloudWatch painel e como CloudWatch alarmes.

    Consulte a seção Custo para entender o custo adicional que isso acarreta.

    TicketGenFunctionName

    (Entrada opcional)

    Opcional. Deixe em branco se não quiser integrar um sistema de emissão de bilhetes. Caso contrário, forneça o nome da função Lambda da saída da pilha da Etapa 0, por exemplo:. SO0111-ASR-ServiceNow-TicketGenerator
nota

Você deve ativar manualmente as correções automáticas na conta de administrador após implantar ou atualizar as pilhas da CloudFormation solução.

  1. Na página Configurar opções de pilha, selecione Avançar.

  2. Na página Revisar, verifique e confirme as configurações. Marque a caixa de seleção confirmando que o modelo criará recursos do AWS Identity and Access Management (IAM).

  3. Selecione Create stack (Criar pilha) para implantar a pilha.

Você pode visualizar o status da pilha no CloudFormation console da AWS na coluna Status. Você deve receber o status CREATE_COMPLETE em aproximadamente 15 minutos.

Etapa 2: Instalar as funções de remediação em cada conta de membro do AWS Security Hub

O automated-security-response-member-roles.template StackSet deve ser implantado em apenas uma região para cada conta de membro. Ele define as funções globais que permitem chamadas de API entre contas a partir da função de etapa do ASR Orchestrator.

  1. Faça login no AWS Management Console para cada conta de membro do AWS Security Hub (incluindo a conta de administrador, que também é membro). Escolha o botão para iniciar o CloudFormation modelo automated-security-response-member-roles.template da AWS. Também é possível fazer download do modelo para usá-lo como ponto de partida para a sua própria implantação.

    Launch solution

  2. Por padrão, esse modelo é iniciado na região Leste dos EUA (Norte da Virgínia). Para lançar essa solução em uma região diferente da AWS, use o seletor de regiões na barra de navegação do AWS Management Console.

  3. Na página Criar pilha, verifique se o URL do modelo correto está na caixa de texto URL do Amazon S3 e escolha Avançar.

  4. Na página Especificar detalhes da pilha, atribua um nome para a sua pilha de soluções. Para obter informações sobre as limitações de nomenclatura de caracteres, consulte os limites do IAM e do STS no Guia do usuário do AWS Identity and Access Management.

  5. Na página Parâmetros, especifique os parâmetros a seguir e escolha Avançar.

    Parâmetro Padrão Description

    Namespace

    <Requires input>

    Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. Namespace exclusivo a ser adicionado como sufixo aos nomes das funções do IAM de remediação. O mesmo namespace deve ser usado nas funções de membro e nas pilhas de membros. Essa string deve ser exclusiva para cada implantação de solução, mas não precisa ser alterada durante as atualizações da pilha. O valor do namespace não precisa ser exclusivo por conta de membro.

    Conta de administrador do Sec Hub

    <Requires input>

    Insira o ID da conta de 12 dígitos para a conta de administrador do AWS Security Hub. Esse valor concede permissões à função de solução da conta de administrador.

  6. Na página Configurar opções de pilha, selecione Avançar.

  7. Na página Revisar, verifique e confirme as configurações. Marque a caixa de seleção confirmando que o modelo criará recursos do AWS Identity and Access Management (IAM).

  8. Selecione Create stack (Criar pilha) para implantar a pilha.

    Você pode visualizar o status da pilha no CloudFormation console da AWS na coluna Status. Você deve receber o status CREATE_COMPLETE em cerca de 5 minutos. Você pode continuar com a próxima etapa enquanto essa pilha carrega.

Etapa 3: iniciar a pilha de membros

Importante

Essa solução inclui coleta de dados. Usamos esses dados para entender melhor como os clientes usam essa solução e os serviços e produtos relacionados. A AWS é proprietária dos dados coletados por meio dessa pesquisa. A coleta de dados está sujeita ao Aviso de Privacidade da AWS.

A automated-security-response-member pilha deve ser instalada em cada conta de membro do Security Hub. Essa pilha define os runbooks para remediação automatizada. O administrador de cada conta de membro pode controlar quais correções estão disponíveis por meio dessa pilha.

  1. Faça login no AWS Management Console para cada conta de membro do AWS Security Hub (incluindo a conta de administrador, que também é membro). Escolha o botão para iniciar o CloudFormation modelo automated-security-response-member.template da AWS.

    automated-security-response-member.template, Launch solution

Você também pode baixar o modelo como ponto de partida para sua própria implementação. Por padrão, esse modelo é iniciado na região Leste dos EUA (Norte da Virgínia). Para lançar essa solução em uma região diferente da AWS, use o seletor de regiões na barra de navegação do AWS Management Console.

+

nota

Essa solução usa o AWS Systems Manager, que atualmente está disponível na maioria das regiões da AWS. A solução funciona em todas as regiões que oferecem suporte a esses serviços. Para obter a disponibilidade mais atual por região, consulte a Lista de serviços regionais da AWS.

  1. Na página Criar pilha, verifique se o URL do modelo correto está na caixa de texto URL do Amazon S3 e escolha Avançar.

  2. Na página Especificar detalhes da pilha, atribua um nome para a sua pilha de soluções. Para obter informações sobre as limitações de nomenclatura de caracteres, consulte os limites do IAM e do STS no Guia do usuário do AWS Identity and Access Management.

  3. Na página Parâmetros, especifique os parâmetros a seguir e escolha Avançar.

    Parâmetro Padrão Description

    Forneça o nome do LogGroup a ser usado para criar filtros e alarmes métricos

    <Requires input>

    Especifique o nome de um grupo de CloudWatch registros em que CloudTrail registra chamadas de API. Isso é usado para remediações do CIS 3.1-3.14.

    Carregar pilha de membros do SC

    yes

    Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles SC.

    Carregar pilha de membros do AFSBP

    no

    Especifique se deseja instalar os componentes do membro para remediação automática dos controles FSBP.

    Carregar pilha de membros do CIS120

    no

    Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS120.

    Carregar pilha de membros do CIS140

    no

    Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS140.

    Carregar pilha de membros do CIS300

    no

    Especifique se deseja instalar os componentes do membro para remediação automatizada dos controles CIS300.

    Carregar pilha de membros PCI321

    no

    Especifique se deseja instalar os componentes do membro para remediação automática dos controles PCI321.

    Carregar pilha de membros do NIST

    no

    Especifique se deseja instalar os componentes do membro para remediação automática dos controles do NIST.

    Crie o bucket do S3 para o registro de auditoria do Redshift

    no

    Escolha yes criar o bucket S3 para a remediação do FSBP RedShift.4 . Para obter detalhes sobre o bucket do S3 e a remediação, revise a Redshift.4 remediação no Guia do usuário do AWS Security Hub.

    Conta de administrador do Sec Hub

    <Requires input>

    Insira o ID da conta de 12 dígitos para a conta de administrador do AWS Security Hub.

    Namespace

    <Requires input>

    Insira uma sequência de até 9 caracteres alfanuméricos minúsculos. Essa string se torna parte dos nomes das funções do IAM e do bucket do Action Log S3. Use o mesmo valor para implantação de pilha de membros e implantação de pilha de funções de membro. A string deve ser exclusiva para cada implantação de solução, mas não precisa ser alterada durante as atualizações da pilha.

    EnableCloudTrailForASRActionLog

    no

    Selecione yes se você deseja monitorar os eventos de gerenciamento conduzidos pela solução no CloudWatch painel. A solução cria uma CloudTrail trilha em cada conta de membro que você selecionayes. Você deve implantar a solução em uma organização da AWS para habilitar esse recurso. Além disso, você só pode ativar esse recurso em uma única região dentro da mesma conta. Consulte a seção Custo para entender o custo adicional que isso acarreta.

  4. Na página Configurar opções de pilha, selecione Avançar.

  5. Na página Revisar, verifique e confirme as configurações. Marque a caixa de seleção confirmando que o modelo criará recursos do AWS Identity and Access Management (IAM).

  6. Selecione Create stack (Criar pilha) para implantar a pilha.

Você pode visualizar o status da pilha no CloudFormation console da AWS na coluna Status. Você deve receber o status CREATE_COMPLETE em aproximadamente 15 minutos.

Etapa 4: (Opcional) Ajustar as correções disponíveis

Se quiser remover correções específicas de uma conta membro, você pode fazer isso atualizando a pilha aninhada de acordo com o padrão de segurança. Para simplificar, as opções de pilha aninhada não são propagadas para a pilha raiz.

  1. Faça login no CloudFormation console da AWS e selecione a pilha aninhada.

  2. Selecione Atualizar.

  3. Selecione Atualizar pilha aninhada e escolha Atualizar pilha.

    Atualizar pilha aninhada

    Caixa de diálogo Atualizar pilha aninhada

  4. Selecione Usar modelo atual e escolha Avançar.

  5. Ajuste as remediações disponíveis. Altere os valores dos controles desejados para Available e dos controles indesejados paraNot available.

    nota

    Desativar uma correção remove o runbook de remediação da solução para o padrão e o controle de segurança.

  6. Na página Configurar opções de pilha, selecione Avançar.

  7. Na página Revisar, verifique e confirme as configurações. Marque a caixa de seleção confirmando que o modelo criará recursos do AWS Identity and Access Management (IAM).

  8. Escolha Atualizar pilha.

Você pode visualizar o status da pilha no CloudFormation console da AWS na coluna Status. Você deve receber o status CREATE_COMPLETE em aproximadamente 15 minutos.