验证您的 AWS Security Incident Response 配置

完成载入后，您可以在真正的安全事件发生之前验证注册、检测源、AWS Identity and Access Management (IAM) 权限、遏制和通知是否正确配置。本节提供了使用 AWS Management Console 和 AWS CLI 的分步验证程序。

在您验证之前

验证安全事件响应配置的先决条件

要完成这些验证步骤，请确保您具备以下条件：

确认日志准备就绪

AWS Security Incident Response 不会代表您启用日志来源。在调查期间，工程师依赖您的环境中已经存在的日志。在验证您的设置之前，请确认已在所有涵盖的账户和 AWS 区域 中启用以下日志。如果没有这些日志，安全事件响应工程师在调查期间的可见性就会受到限制。请在继续之前启用它们。

验证 GuardDuty 是否已启用

使用以下命令验证 Amazon GuardDuty 在您的账户中是否处于活动状态：

aws guardduty list-detectors

非空响应确认当前 AWS 区域 中已启用 GuardDuty。对每个活跃区域重复此步骤，或者通过 GuardDuty 委托管理员账户在整个组织中进行验证。

步骤 1：验证注册和成员资格

使用 AWS Security Incident Response 控制台

使用 AWS CLI

从委派管理员账户运行以下命令：

aws security-ir list-memberships

前面的命令会返回您的成员资格 ID 和状态。

要获取完整的成员资格详细信息（包括事件响应团队配置），请运行以下命令：

aws security-ir get-membership --membership-id membership-id

使用命令输出验证以下信息。

验证委派管理员

要确认正确的账户已注册为安全事件响应的委派管理员，请运行以下命令：

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

步骤 2：验证检测来源和分级

AWS Security Incident Response 通过 Security Hub CSPM 监控来自 GuardDuty 和第三方工具的安全调查发现。该服务使用服务相关角色，通过在载入期间部署到您的账户的 Amazon EventBridge 规则来摄取调查发现。

验证分级服务相关角色

AWSServiceRoleForSecurityIncidentResponse_Triage 服务相关角色必须存在于您的管理账户和所有范围内的成员账户中。

要进行验证，请在管理账户和范围内的成员账户中运行以下命令：

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

成功的响应将确认该角色存在。如果收到 NoSuchEntity 错误，请执行以下一项操作：

验证主要服务相关角色

AWSServiceRoleForSecurityIncidentResponse 角色还应存在于您的委派管理员账户中。要验证该角色是否存在，请运行以下命令：

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

验证主动响应和 EventBridge 规则

在 AWS Security Incident Response 控制台中，确认主动响应显示为已启用。启用后，服务将执行以下操作：

验证成员账户中是否部署了 EventBridge 规则

要验证 EventBridge 规则是否已部署在成员账户中，请完成以下步骤。

如果缺少规则，请从安全事件响应控制台重新运行主动响应设置，或联系 AWS 支持。

验证第三方集成（如适用）

如果您使用第三方检测工具（例如 CrowdStrike Falcon、Trend Micro Cloud One 或 Fortinet Lacework FortiCNAPP），请验证其调查发现是否正在流经 Security Hub CSPM：

步骤 3：验证自动化调查发现管道

此步骤确认 EventBridge 管道处于活动状态，且调查发现已进入自动分级阶段。

关于 GuardDuty 样本调查发现

GuardDuty 内置的生成样本调查发现功能可生成标记为样本的调查发现。自动分级会筛选样本调查发现以防止出现噪音；它们不会流经整个分级管道，也不能用于验证您的安全事件响应配置。请勿在此步骤中使用它们。

使用 GuardDuty 测试域进行验证

GuardDuty 文档提供了一个测试域（guarddutyc2activityb.com），无需实际安全事件即可生成真实调查发现。从受覆盖账户中的 Amazon EC2 实例查询此域会生成安全事件响应摄取和处理的调查发现。

要生成测试调查发现，请执行以下操作：

预期发生的情况：

步骤 4：验证通知和事件响应团队

验证您的事件响应团队

在安全事件响应控制台中，查看您配置的事件响应团队成员。创建案例后，每位成员都会立即收到电子邮件通知。

或者运行以下命令以使用 AWS CLI 进行验证：

aws security-ir get-membership --membership-id membership-id

确认以下内容：

了解案例观察者

案例观察者是有权查看特定案例的利益相关者。关键详细信息：

在向外部方（例如托管检测和响应 (MDR) 合作伙伴或第三方调查团队）授予访问权限时，这种按案例划分范围尤为重要，他们只应查看其所参与的具体案例。

使用测试案例验证通知发送情况

验证端到端通知流的最有效方法是创建一个被动式（自我管理）测试案例：

案例通知的预期内容

创建案例（由服务主动创建或由您的团队被动创建）后，所有已配置的事件响应团队成员都会收到一封包含案例详细信息的电子邮件通知。

验证 EventBridge 集成（如果已配置）

如果您将 EventBridge 配置为将案例事件路由到第三方平台（例如 ServiceNow、Jira、Slack 或 PagerDuty），请验证您的测试案例是否触发了这些系统中的预期通知。

步骤 5：验证遏制准备情况（可选）

如果您尚未启用遏制

这里没有什么可验证的。安全事件响应可在安全事件期间提供指导和调查，但除非您明确授权，否则不会采取自动遏制措施。

如果您已启用遏制

在控制台中检查遏制状态。验证遏制操作是否显示为已授权。支持的遏制操作包括以下运行手册：

验证 CloudFormation 堆栈集是否已部署。遏制需要在您的受覆盖账户中具有 IAM 角色（AWSSecurityIncidentResponseContainment 和 AWSSecurityIncidentResponseContainmentExecution）：

如果未部署堆栈集，则控制台中的遏制授权不会导致采取实际的遏制操作。

确认您的遏制首选项。安全事件响应支持三个遏制级别：

要提交或更新您的首选项，请创建案例类型为技术：安全事件响应服务/其他的 AWS 支持 案例。

如果您想要 EC2 分级：请部署使用 EC2 分级 CloudFormation 模板的遏制。这允许安全事件响应工程师使用 AWS Systems Manager 从 Amazon EC2 实例收集调查数据。

步骤 6：确认持续运行

完成初步验证后，使用这些指标来确认安全事件响应是否按预期持续运行。

即使没有案例，也是正常情况

只有当自动分级发现需要进行人工调查的活动时，安全事件响应才会创建主动案例。当分级确定某项调查发现是良性时，它会将该调查发现存档，而无需创建案例或联系您的团队。没有未结案例且具有持续的存档 GuardDuty 调查发现流的部署正在按预期运行。

如果您的环境处于活动状态几天后没有看到任何案例并且没有存档的调查发现，则可能未连接管道；请验证步骤 2 和 3。

存档的调查发现和抑制规则作为运行状况信号

当安全事件响应随着时间的推移处理调查发现时，它会创建两个可观察到的构件：

创建抑制规则后，您的事件响应团队会收到通知。如果规则创建时出错，请联系 AWS 支持 请求回滚。已存档的调查发现将在 GuardDuty 中保留 90 天。

每月活动报告

安全事件响应每月向您的事件响应团队发送一份活动报告，其中总结了已处理的调查发现、分级结果以及已打开的所有案例。如果您的团队在运营的第一个完整日历月后仍未收到报告，请确认事件响应团队成员是否已启用通信。对于与月度报告相关的任何其他问题，请联系您的客户团队或提交支持案例，案例类型为技术：安全事件响应服务/其他，并提供以下信息：

安全事件响应工程师预计将执行的工作

当您创建 AWS 支持的案例或服务主动创建案例时，安全事件响应工程师会在 15 分钟内确认新案例。此 15 分钟的确认 SLO 适用于所有 AWS 支持的案例类型，包括活跃的安全事件和调查。初始确认表明您的案例正在审核中；完整的评估时间表可能因案例严重性和复杂性而有所不同。

对于主动案例（分级服务发现已确认的安全问题时自动创建），该服务会在自动分级确认问题后创建案例，并在案例打开时通知您的事件响应团队。

验证核对清单

使用此核对清单确认您的配置已完成：

计费验证

Enterprise Support 和 Unified Operations 客户：安全事件响应包含在您的支持计划中，不收取额外费用。在 AWS Cost Explorer 或 AWS 成本和使用情况报告中，您看不到安全事件响应费用。

所有其他客户：定价基于所摄取的安全调查发现数量。每月前 10,000 个调查发现是免费的。有关详细信息，请参阅 AWS Security Incident Response 定价。

问题排查

相关资源