# Détection
**Topics**
+ [SEC 4 Comment détecter et enquêter sur les événements de sécurité ?](w2aac19b7b9b5.md)
# SEC 4 Comment détecter et enquêter sur les événements de sécurité ?
Capturez et analysez les événements de journaux et les métriques pour obtenir une meilleure visibilité. Prenez des mesures en réaction aux événements de sécurité et aux menaces potentielles afin de contribuer à sécuriser votre charge de travail.
**Topics**
+ [SEC04-BP01 Configurer une journalisation de service et d'application](sec_detect_investigate_events_app_service_logging.md)
+ [SEC04-BP02 Analyse centralisée des journaux, des résultats et des métriques](sec_detect_investigate_events_analyze_all.md)
+ [SEC04-BP03 Automatiser la réponse aux événements](sec_detect_investigate_events_auto_response.md)
+ [SEC04-BP04 Implémenter des événements de sécurité exploitables](sec_detect_investigate_events_actionable_events.md)
# SEC04-BP01 Configurer une journalisation de service et d'application
Configurez une journalisation tout au long du cycle de vie de la charge de travail, y compris des journaux d'application, des journaux de ressources et des journaux de service AWS. Par exemple, assurez-vous qu'AWS CloudTrail, Amazon CloudWatch Logs, Amazon GuardDuty et AWS Security Hub CSPM sont activés pour tous les comptes au sein de votre entreprise.
Une pratique fondamentale consiste à définir un ensemble de mécanismes de détection au niveau du compte. Cet ensemble de mécanismes de base vise à enregistrer et à détecter un large éventail d'actions sur toutes les ressources de votre compte. Ils vous permettent de mettre en place une capacité de détection complète avec des options qui comprennent la correction automatisée et les intégrations de partenaires pour ajouter des fonctionnalités.
Dans AWS, les services qui peuvent implémenter cet ensemble de base sont les suivants :
+ [AWS CloudTrail](http://aws.amazon.com/cloudtrail) fournit un historique des événements liés à votre compte AWS, y compris les mesures prises dans AWS Management Console, les kits SDK AWS, les outils de ligne de commande et les autres services AWS.
+ [AWS Config](http://aws.amazon.com/config) surveille et enregistre les configurations de vos ressources AWS et permet d'automatiser l'évaluation et la remédiation par rapport aux configurations souhaitées.
+ [Amazon GuardDuty](http://aws.amazon.com/guardduty) est un service de détection des menaces qui surveille en permanence les activités malveillantes et les comportements non autorisés afin de protéger vos comptes AWS et vos charges de travail.
+ [AWS Security Hub CSPM](http://aws.amazon.com/security-hub) fournit un emplacement unique qui regroupe, organise et priorise vos alertes de sécurité ou vos résultats provenant de plusieurs services AWS et de produits tiers en option pour vous donner une vue complète des alertes de sécurité et du statut de conformité.
Construits sur les fondations au niveau du compte, de nombreux services AWS de base comme [Amazon Virtual Private Cloud Console (Amazon VPC)](http://aws.amazon.com/vpc)fournissent des fonctions de journalisation au niveau du service. [Journaux de flux Amazon VPC](https://docs.aws.amazon.com/vpc/latest/userguide/flow-logs.html) Les journaux de flux VPC vous permettent de capturer des informations sur le trafic IP vers et depuis les interfaces réseau, qui peuvent contenir des informations précieuses sur l'historique de connectivité et déclencher des actions automatisées en rapport à un comportement anormal.
Pour les instances Amazon Elastic Compute Cloud (Amazon EC2) et la journalisation basée sur les applications qui ne provient pas des services AWS, les journaux peuvent être stockés et analysés avec [Amazon CloudWatch Logs](http://aws.amazon.com/cloudwatch). Une [agent](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_GettingStarted.html) collecte les journaux du système d'exploitation et des applications en cours d'exécution et les stocke automatiquement. Une fois que les journaux sont disponibles dans CloudWatch Logs, vous pouvez [les traiter en temps réel](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/Subscriptions.html)vous plonger dans l'analyse en utilisant [CloudWatch Logs Insights](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/AnalyzingLogData.html).
La capacité d'extraire des informations significatives des grands volumes de données de journaux et d'événements générés par des architectures complexes est tout aussi importante pour la collecte et l'agrégation des journaux. Consultez la *Surveillance* du livre blanc [Livre blanc du pilier Fiabilité](https://docs.aws.amazon.com/wellarchitected/latest/reliability-pillar/monitor-workload-resources.html) pour en savoir plus. Les journaux peuvent eux-mêmes contenir des données considérées comme sensibles, soit lorsque des données d'application se sont retrouvées par erreur dans des fichiers journaux que l'agent CloudWatch Logs capture, soit lorsque la journalisation entre régions est configurée pour l'agrégation de journaux et qu'il existe des considérations d'ordre légal concernant l'envoi de certains types d'informations par-delà les frontières.
Une approche consiste à utiliser les fonctions AWS Lambda, déclenchées par les événements lors de la distribution des journaux, pour filtrer et expurger les données des journaux avant de les envoyer vers un emplacement d'enregistrement central, tel qu'un compartiment Amazon Simple Storage Service (Amazon S3). Les journaux non expurgés peuvent être conservés dans un compartiment local pendant un « délai raisonnable » (déterminé par la législation et votre équipe juridique) après lequel une règle de cycle de vie Amazon S3 peut automatiquement les supprimer. Les journaux peuvent également être protégés dans Amazon S3 à l'aide de [Amazon S3 Object Lock](https://docs.aws.amazon.com/AmazonS3/latest/dev/object-lock.html), où vous pouvez stocker des objets à l'aide d'un modèle WORM (write-one-read-many).
**Niveau de risque exposé si cette bonne pratique n'est pas respectée :** Débit
## Directives d'implémentation
+ Activer la journalisation des services AWS : activez la journalisation des services AWS pour répondre à vos besoins. Les fonctionnalités de journalisation incluent les éléments suivants : journaux de flux Amazon VPC, journaux Elastic Load Balancing, journaux de compartiment Amazon S3, journaux d'accès CloudFront, journaux de requêtes Amazon Route 53 et journaux Amazon Relational Database Service (Amazon RDS).
+ [AWS Answers : fonctionnalités AWS natives de journalisation/sécurité ](https://aws.amazon.com/answers/logging/aws-native-security-logging-capabilities/)
+ Évaluez et activez la journalisation des systèmes d'exploitation et les journaux spécifiques à votre application pour détecter les comportements suspects.
+ [ Démarrer avec CloudWatch Logs ](http://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_GettingStarted.html)
+ [ Outils de développement et analyse des journaux ](https://aws.amazon.com/marketplace/search/results?category=4988009011)
+ Appliquer des contrôles appropriés aux journaux : les journaux peuvent contenir des informations sensibles auxquelles seuls les utilisateurs autorisés doivent avoir accès. Envisagez de restreindre les autorisations d'accès aux compartiments Amazon S3 et aux groupes de journaux CloudWatch Logs.
+ [ Authentification et contrôle d'accès pour Amazon CloudWatch ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/auth-and-access-control-cw.html)
+ [Gestion des identités et des accès dans Amazon S3 ](https://docs.aws.amazon.com/AmazonS3/latest/dev/s3-access-control.html)
+ Configurer [Amazon GuardDuty](https://docs.aws.amazon.com/guardduty/latest/ug/what-is-guardduty.html) : GuardDuty est un service de détection des menaces qui surveille en permanence les activités malveillantes et les comportements non autorisés afin de protéger vos Comptes AWS et vos charges de travail. Activez GuardDuty et configurez des alertes automatiques pour envoyer des e-mails à l'aide de l'atelier.
+ [Configurer un journal de suivi personnalisé dans CloudTrail](http://docs.aws.amazon.com/awscloudtrail/latest/userguide/cloudtrail-create-and-update-a-trail.html) : la configuration d'un journal de suivi vous permet de stocker les journaux plus longtemps que la période par défaut, et de les analyser ultérieurement.
+ Activation [AWS Config](https://docs.aws.amazon.com/config/latest/developerguide/WhatIsConfig.html) : AWS Config fournit une vue détaillée de la configuration des ressources AWS dans votre Compte AWS. Cette vue comprend la manière dont les ressources sont associées les unes aux autres et la façon dont elles étaient configurées précédemment pour que vous puissiez voir la façon dont les configurations et relations changent dans le temps.
+ Activation [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) : Security Hub CSPM vous fournit une vue complète de votre état de sécurité dans AWS et vous permet de vérifier votre conformité avec les normes et bonnes pratiques de sécurité dans votre secteur. Security Hub CSPM collecte des données de sécurité auprès des Comptes AWS, des services et des produits de partenaires tiers pris en charge. Il vous aide à analyser vos tendances en matière de sécurité et à identifier les problèmes de sécurité les plus prioritaires.
## Ressources
**Documents connexes :**
+ [ Amazon CloudWatch ](https://aws.amazon.com/cloudwatch/)
+ [Amazon EventBridge ](https://aws.amazon.com/eventbridge)
+ [ Premiers pas : Amazon CloudWatch Logs ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_GettingStarted.html)
+ [Solutions partenaires de sécurité : journalisation et surveillance](https://aws.amazon.com/security/partner-solutions/#logging-monitoring)
**Vidéos connexes :**
+ [ Surveillance centralisée de la configuration et de la conformité des ressources ](https://youtu.be/kErRv4YB_T4)
+ [Résolution des problèmes identifiés par Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/nyh4imv8zuk)
+ [ Gestion des menaces dans le cloud : Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/vhYsm5gq9jE)
**Exemples connexes :**
+ [ Atelier : Déploiement automatisé des contrôles de détection ](https://wellarchitectedlabs.com/Security/200_Automated_Deployment_of_Detective_Controls/README.html)
# SEC04-BP02 Analyse centralisée des journaux, des résultats et des métriques
les équipes responsables des opérations de sécurité s'appuient sur la collecte de journaux et l'utilisation d'outils de recherche pour découvrir les événements d'intérêt potentiels, susceptibles d'indiquer une activité non autorisée ou une modification non intentionnelle. Cependant, la simple analyse des données collectées et le traitement manuel des informations ne suffisent pas pour faire face au volume d'informations provenant d'architectures complexes. L'analyse et les rapports ne facilitent pas l'affectation des ressources appropriées pour traiter un événement dans les délais impartis.
Une bonne pratique pour constituer une équipe d'opérations de sécurité mature consiste à intégrer profondément le flux d'événements et de résultats de sécurité dans un système de notification et de flux de travail, tel qu'un système de tickets, un système de gestion des bogues et problèmes ou un autre système de gestion des informations et des événements de sécurité (SIEM). Ainsi, le flux de travail n'est plus intégré aux rapports par e-mail et statiques, ce qui permet d'acheminer, de transférer et de gérer les événements ou les résultats. De nombreuses organisations intègrent également des alertes de sécurité dans leurs plateformes de discussion instantanée et collaborative et de productivité des développeurs. Pour les organisations qui se lancent dans l'automatisation, un système de tickets à faible latence axé sur les API, offre une flexibilité considérable pour planifier ce qu'il faut automatiser en premier.
Cette bonne pratique s'applique non seulement aux événements de sécurité générés par les messages du journal décrivant l'activité des utilisateurs ou les événements du réseau, mais aussi aux changements détectés dans l'infrastructure elle-même. La capacité à détecter les changements, à déterminer si un changement était approprié, puis à acheminer ces informations vers le processus de correction approprié est essentielle pour gérer et valider une architecture sécurisée, dans le contexte de changements dont la nature indésirable est suffisamment subtile pour que leur exécution ne puisse être actuellement empêchée par une combinaison de configuration Gestion des identités et des accès AWS(IAM) et AWS Organizations.
Amazon GuardDuty et AWS Security Hub CSPM fournissent des mécanismes d'agrégation, de déduplication et d'analyse pour les enregistrements de journaux qui sont également mis à votre disposition via d'autres services AWS. GuardDuty ingère, agrège et analyse les informations provenant de sources telles que les événements de gestion et de données AWS CloudTrail, les journaux DNS VPC et les journaux de flux VPC. Security Hub CSPM peut ingérer, agréger et analyser les résultats provenant de GuardDuty, AWS Config, Amazon Inspector, Amazon Macie, AWS Firewall Manager et d'un nombre important de produits de sécurité tiers disponibles dans AWS Marketplace et, s'il a été conçu en conséquence, votre propre code. GuardDuty et Security Hub CSPM ont tous les deux un modèle Administrateur/Maître qui peut agréger les résultats et les informations sur plusieurs comptes. Security Hub CSPM est souvent utilisé par les clients qui ont un système de gestion des informations et des événements de sécurité (SIEM) sur site comme préprocesseur et agrégateur de journaux et d'alertes côté AWS à partir duquel ils peuvent ensuite ingérer Amazon EventBridge via un processeur et un redirecteur basé sur AWS Lambda.
**Niveau de risque exposé si cette bonne pratique n'est pas respectée :** Débit
## Directives d'implémentation
+ Évaluer les fonctionnalités de traitement des journaux : évaluez les options disponibles pour le traitement des journaux.
+ [Utilisez Amazon OpenSearch Service pour enregistrer et surveiller (presque) tout. ](https://d1.awsstatic.com/whitepapers/whitepaper-use-amazon-elasticsearch-to-log-and-monitor-almost-everything.pdf)
+ [Trouvez un partenaire spécialisé dans les solutions de journalisation et de surveillance. ](https://aws.amazon.com/security/partner-solutions/#Logging_and_Monitoring)
+ Pour commencer à analyser les journaux CloudTrail, testez Amazon Athena.
+ [ Configuration d'Athena pour analyser les journaux CloudTrail ](https://docs.aws.amazon.com/athena/latest/ug/cloudtrail-logs.html)
+ Implémenter la journalisation centralisée dans AWS : consultez l'exemple de solution AWS suivant pour centraliser la journalisation à partir de plusieurs sources.
+ [Centraliser la solution de journalisation ](https://aws.amazon.com/solutions/centralized-logging/https://aws.amazon.com/solutions/centralized-logging/)
+ Implémenter la journalisation centralisée avec le partenaire : les partenaires APN disposent de solutions pour vous aider à analyser les journaux de manière centralisée.
+ [ Journalisation et surveillance ](https://aws.amazon.com/security/partner-solutions/#Logging_and_Monitoring)
## Ressources
**Documents connexes :**
+ [AWS Answers : journalisation centralisée ](https://aws.amazon.com/answers/logging/centralized-logging/)
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)
+ [ Amazon CloudWatch ](https://aws.amazon.com/cloudwatch/)
+ [Amazon EventBridge ](https://aws.amazon.com/eventbridge)
+ [ Premiers pas : Amazon CloudWatch Logs ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_GettingStarted.html)
+ [Solutions partenaires de sécurité : journalisation et surveillance](https://aws.amazon.com/security/partner-solutions/#logging-monitoring)
**Vidéos connexes :**
+ [ Surveillance centralisée de la configuration et de la conformité des ressources ](https://youtu.be/kErRv4YB_T4)
+ [Résolution des problèmes identifiés par Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/nyh4imv8zuk)
+ [ Gestion des menaces dans le cloud : Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/vhYsm5gq9jE)
# SEC04-BP03 Automatiser la réponse aux événements
L'utilisation de l'automatisation pour enquêter et corriger les événements réduit les efforts humains et les erreurs. Elle vous permet aussi de mettre à l'échelle les capacités d'investigation. Les vérifications régulières vous aideront à ajuster les outils d'automatisation et à itérer en continu.
Dans AWS, l'analyse des événements d'intérêt et des informations utiles sur des changements potentiellement inattendus dans un flux de travail automatisé peut être réalisée avec Amazon EventBridge. Ce service fournit un moteur de règles évolutif conçu pour négocier les formats d'événements AWS natifs (tels que les événements AWS CloudTrail) ainsi que les événements personnalisés que vous pouvez générer vous-même. Amazon GuardDuty vous permet également d'acheminer les événements vers un système de flux de travail pour ceux qui mettent en place des systèmes de réponse aux incidents (AWS Step Functions), vers un compte de sécurité central ou encore vers un compartiment pour une analyse plus approfondie.
La détection des changements et l'acheminement de ces informations vers le flux de travail approprié peuvent également être réalisés via AWS Config Rules et [les packs de conformité](https://docs.aws.amazon.com/config/latest/developerguide/conformance-packs.html). AWS Config détecte les modifications apportées aux services concernés (bien que sa latence soit supérieure à celle d'EventBridge) et génère des événements qui peuvent être analysés avec AWS Config Rules pour la restauration, l'application de la politique de conformité et le transfert d'informations aux systèmes, tels que les plateformes de gestion des modifications et les systèmes de tickets opérationnels. En plus d'écrire vos propres fonctions Lambda pour répondre aux événements AWS Config, vous pouvez tirer parti du [kit de développement AWS Config Rules](https://github.com/awslabs/aws-config-rdk)et d'une [bibliothèque de règles open source](https://github.com/awslabs/aws-config-rules) AWS Config Rules. Les packs de conformité sont une collection d'actions correctives et de règles AWS Config Rules que vous déployez en tant qu'entité unique créée en tant que modèle YAML. A [exemple de modèle de pack de conformité](https://docs.aws.amazon.com/config/latest/developerguide/operational-best-practices-for-wa-Security-Pillar.html) est disponible pour le pilier Sécurité Well-Architected.
**Niveau de risque exposé si cette bonne pratique n'est pas respectée :** Moyenne entreprise
## Directives d'implémentation
+ Implémenter des alertes automatisées avec GuardDuty : GuardDuty est un service de détection des menaces qui surveille en permanence les activités malveillantes et les comportements non autorisés afin de protéger vos Comptes AWS et vos charges de travail. Activez GuardDuty et configurez des alertes automatiques.
+ Automatiser les processus d'investigation : développez des processus automatisés qui enquêtent sur un événement et rapportent les informations à un administrateur pour gagner du temps.
+ [ Atelier : Amazon GuardDuty dans la pratique ](https://hands-on-guardduty.awssecworkshops.com/)
## Ressources
**Documents connexes :**
+ [AWS Answers : journalisation centralisée ](https://aws.amazon.com/answers/logging/centralized-logging/)
+ [AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html)
+ [ Amazon CloudWatch ](https://aws.amazon.com/cloudwatch/)
+ [Amazon EventBridge ](https://aws.amazon.com/eventbridge)
+ [ Premiers pas : Amazon CloudWatch Logs ](https://docs.aws.amazon.com/AmazonCloudWatch/latest/logs/CWL_GettingStarted.html)
+ [Solutions partenaires de sécurité : journalisation et surveillance](https://aws.amazon.com/security/partner-solutions/#logging-monitoring)
+ [ Configuration d'Amazon GuardDuty ](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_settingup.html)
**Vidéos connexes :**
+ [ Surveillance centralisée de la configuration et de la conformité des ressources ](https://youtu.be/kErRv4YB_T4)
+ [Résolution des problèmes identifiés par Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/nyh4imv8zuk)
+ [ Gestion des menaces dans le cloud : Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/vhYsm5gq9jE)
**Exemples connexes :**
+ [Atelier : Déploiement automatisé des contrôles de détection ](https://wellarchitectedlabs.com/Security/200_Automated_Deployment_of_Detective_Controls/README.html)
# SEC04-BP04 Implémenter des événements de sécurité exploitables
Créez des alertes qui sont envoyées à votre équipe et qui peuvent être exécutées par celle-ci. Assurez-vous que les alertes incluent des informations pertinentes pour que l'équipe agisse en conséquence. pour chaque mécanisme de détection dont vous disposez, vous devez également disposer d'un processus, sous la forme d'un [runbook](https://wa.aws.amazon.com/wat.concept.runbook.en.html) ou [d'un playbook](https://wa.aws.amazon.com/wat.concept.playbook.en.html)pour enquêter. Par exemple, lorsque vous activez [Amazon GuardDuty](http://aws.amazon.com/guardduty), il génère des résultats [différents](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_findings.html). Vous devez avoir une entrée de runbook pour chaque type de résultat. Par exemple, si un [cheval de Troie](https://docs.aws.amazon.com/guardduty/latest/ug/guardduty_trojan.html) est détecté, votre runbook comporte des instructions simples qui demandent à quelqu'un d'enquêter et de corriger.
**Niveau de risque exposé si cette bonne pratique n'est pas respectée :** Faible
## Directives d'implémentation
+ Découvrir les métriques disponibles pour les services AWS : découvrez les métriques disponibles via Amazon CloudWatch pour les services que vous utilisez.
+ [Documentation des services AWS](https://aws.amazon.com/documentation/)
+ [Utilisation des métriques Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/working_with_metrics.html)
+ Configurez des alarmes Amazon CloudWatch.
+ [Utilisation des alarmes Amazon CloudWatch](https://docs.aws.amazon.com/AmazonCloudWatch/latest/monitoring/AlarmThatSendsEmail.html)
## Ressources
**Documents connexes :**
+ [ Amazon CloudWatch ](https://aws.amazon.com/cloudwatch/)
+ [Amazon EventBridge ](https://aws.amazon.com/eventbridge)
+ [Solutions partenaires de sécurité : journalisation et surveillance](https://aws.amazon.com/security/partner-solutions/#logging-monitoring)
**Vidéos connexes :**
+ [ Surveillance centralisée de la configuration et de la conformité des ressources ](https://youtu.be/kErRv4YB_T4)
+ [Résolution des problèmes identifiés par Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/nyh4imv8zuk)
+ [ Gestion des menaces dans le cloud : Amazon GuardDuty et AWS Security Hub CSPM](https://youtu.be/vhYsm5gq9jE)