View a markdown version of this page

AWS Resposta a incidentes de segurança e AWS Organizations - AWS Organizations
Perfis vinculados ao serviçoEntidades principais de serviçoHabilitar acesso confiávelDesabilitar o acesso confiávelHabilitar administrador delegadoDesabilitar um administrador delegado para o Resposta a Incidentes de Segurança

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

AWS Resposta a incidentes de segurança e AWS Organizations

AWS O Security Incident Response é um serviço de segurança que fornece suporte a incidentes de segurança 24 horas por dia, 7 dias por semana, ao vivo e assistido por humanos para ajudar os clientes a responder rapidamente a incidentes de segurança cibernética, como roubo de credenciais e ataques de ransomware. Ao se integrar ao Organizations, você habilita a cobertura de segurança para toda a sua organização. Para obter mais informações, consulte Gerenciando contas do AWS Security Incident Response AWS Organizations no Guia do Usuário do Security Incident Response.

Use as informações a seguir para ajudá-lo a integrar o AWS Security Incident Response com AWS Organizations.

Funções vinculadas ao serviço, criadas quando você habilitou a integração

As funções vinculadas ao serviço a seguir são criadas automaticamente na conta gerencial de sua organização quando você habilita o acesso confiável.

  • AWSServiceRoleForSecurityIncidentResponse- usado para criar uma associação ao Security Incident Response - sua assinatura do serviço por meio de AWS Organizations.

  • AWSServiceRoleForSecurityIncidentResponse_Triage- usado somente quando você ativa o recurso de triagem durante a inscrição.

Princípios de serviço usados pelo Resposta a Incidentes de Segurança

As funções vinculadas ao serviço na seção anterior podem ser assumidas apenas pelas entidades de serviço primárias autorizadas pelas relações de confiança definidas para a função. As funções vinculadas ao serviço usadas pelo Resposta a Incidentes de Segurança concedem acesso às seguintes entidades principais de serviço:

  • security-ir.amazonaws.com

Habilitar o acesso confiável ao Resposta a Incidentes de Segurança

Habilitar o acesso confiável ao Resposta a Incidentes de Segurança permite que o serviço acompanhe a estrutura da sua organização e garanta que todas as contas da organização tenham cobertura ativa de incidentes de segurança. Também permite que o serviço use uma função vinculada ao serviço nas contas dos membros para recursos de triagem quando você habilita o recurso de triagem.

Para obter informações sobre as permissões necessárias para habilitar acesso confiável, consulte Permissões necessárias para habilitar o acesso confiável.

Você pode habilitar o acesso confiável usando o console do AWS Security Incident Response ou o AWS Organizations console.

Importante

É altamente recomendável que, sempre que possível, você use o console ou as ferramentas do AWS Security Incident Response para permitir a integração com o Organizations. Isso permite que o AWS Security Incident Response execute qualquer configuração necessária, como criar os recursos necessários ao serviço. Prossiga com essas etapas somente se você não conseguir habilitar a integração usando as ferramentas fornecidas pelo AWS Security Incident Response. Para obter mais informações, consulte esta nota.

Se você habilitar o acesso confiável usando o console ou as ferramentas do AWS Security Incident Response, não precisará concluir essas etapas.

O Organizations habilita automaticamente o acesso confiável do Organizations quando você usa o console do Resposta a Incidentes de Segurança para configuração e gerenciamento. Se você usar o Security Incident Response CLI/SDK , precisará habilitar manualmente o acesso confiável usando a API Enable AWSService Access. Para saber como habilitar o acesso confiável por meio do console do Security Incident Response, consulte Habilitando o acesso confiável para o gerenciamento de AWS contas no Guia do usuário do Security Incident Response.

Você pode habilitar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando ou chamando uma operação de API em um dos AWS SDKs.

Console de gerenciamento da AWS
Para habilitar o acesso ao serviço confiável usando o console do Organizations

  1. Faça login no console do AWS Organizations. Você deve fazer login como um usuário do IAM, assumir um perfil do IAM ou fazer login como usuário-raiz (não recomendado) na conta gerencial da organização.

  2. No painel de navegação, escolha Serviços.

  3. Escolha Resposta a Incidentes de Segurança da AWS na lista de serviços.

  4. Escolha Enable trusted access (Habilitar acesso confiável).

  5. Na caixa de diálogo Habilitar acesso confiável para Resposta a Incidentes de AWS Segurança, digite habilitar para confirmar e escolha Habilitar acesso confiável.

  6. Se você for administrador de somente AWS Organizations, diga ao administrador do AWS Security Incident Response que agora ele pode habilitar esse serviço para funcionar a AWS Organizations partir do console de serviço.

AWS CLI, AWS API
Para habilitar o acesso ao serviço confiável usando a CLI/SDK do Organizations

Use os seguintes AWS CLI comandos ou operações de API para habilitar o acesso confiável ao serviço:

  • AWS CLI: enable-aws-service-access

    Execute o comando a seguir para habilitar o AWS Security Incident Response como um serviço confiável com Organizations.

    $ aws organizations enable-aws-service-access \ 
    --service-principal security-ir.amazonaws.com

    Esse comando não gera nenhuma saída quando é bem-sucedido.

  • AWS API: Habilitar AWSService acesso

Desabilitar o acesso confiável com o Resposta a Incidentes de Segurança

Apenas um administrador na conta gerencial do Organizations pode desabilitar o acesso confiável com o Resposta a Incidentes de Segurança.

Você só pode desabilitar o acesso confiável usando as ferramentas do Organizations.

Você pode desativar o acesso confiável usando o AWS Organizations console, executando um AWS CLI comando do Organizations ou chamando uma operação da API Organizations em um dos AWS SDKs.

Console de gerenciamento da AWS
Para desabilitar o acesso confiável usando o console do Organizations

  1. Faça login no console do AWS Organizations. Você deve fazer login como um usuário do IAM, assumir um perfil do IAM ou fazer login como usuário-raiz (não recomendado) na conta gerencial da organização.

  2. No painel de navegação, escolha Serviços.

  3. Escolha Resposta a Incidentes de Segurança da AWS na lista de serviços.

  4. Escolha Desabilitar acesso confiável.

  5. Na caixa de diálogo Desabilitar acesso confiável para Resposta a Incidentes de AWS Segurança, digite desabilitar para confirmar e escolha Desabilitar acesso confiável.

  6. Se você for administrador de somente AWS Organizations, diga ao administrador do AWS Security Incident Response que agora ele pode impedir que esse serviço funcione AWS Organizations usando o console de serviço ou as ferramentas.

AWS CLI, AWS API
Para desabilitar o acesso confiável usando a CLI/SKD do Organizations

Você pode usar os seguintes AWS CLI comandos ou operações de API para desativar o acesso confiável a serviços:

  • AWS CLI: disable-aws-service-access

    Execute o comando a seguir para desativar o AWS Security Incident Response como um serviço confiável com Organizations.

    $ aws organizations disable-aws-service-access \
    --service-principal security-ir.amazonaws.com

    Esse comando não gera nenhuma saída quando é bem-sucedido.

  • AWS API: Desativar AWSService acesso

Habilitar uma conta de administrador delegado para o Resposta a Incidentes de Segurança

Quando você designa uma conta de membro como um administrador delegado para a organização, os usuários e as funções dessa conta podem executar ações administrativas para o Resposta a Incidentes de Segurança que, de outra forma, só poderiam ser acionadas por usuários ou funções na conta gerencial da organização. Isso ajuda você a separar o gerenciamento da organização do gerenciamento do Resposta a Incidentes de Segurança. Para obter mais informações, consulte Gerenciando contas do AWS Security Incident Response AWS Organizations no Guia do Usuário do Security Incident Response.

Permissões mínimas

Somente um usuário ou perfil na conta gerencial do Organizations pode configurar uma conta de membro como um administrador delegado para o Resposta a Incidentes de Segurança na organização

Para saber como configurar um administrador delegado por meio do console do Resposta Incidentes de Segurança, consulte Designando uma conta delegada de administrador do Resposta a Incidentes de Segurança no Guia do usuário do Resposta a Incidentes de Segurança.

AWS CLI, AWS API

Se você quiser configurar uma conta de administrador delegado usando a AWS CLI ou uma das, você pode usar AWS SDKs os seguintes comandos:

  • AWS CLI: 

    $ aws organizations register-delegated-administrator \
    --account-id 123456789012 \
    --service-principal security-ir.amazonaws.com

  • AWS SDK: chame a RegisterDelegatedAdministrator operação da Organizations e o número de identificação da conta do membro e identifique o serviço da conta security-ir.amazonaws.com como parâmetros.

Desabilitar um administrador delegado para o Resposta a Incidentes de Segurança

Importante

Se a associação foi criada a partir da conta do administrador delegado, cancelar o registro do administrador delegado é uma ação destrutiva e causará a interrupção do serviço. Para registrar novamente o DA:

  1. Faça login no console do Security Incident Response em https://console.aws.amazon.com/security-ir/ home#/membership/settings

  2. Cancele a associação no console de serviço. A associação permanece ativa até o final do ciclo de cobrança.

  3. Depois que a associação for cancelada, desative o acesso ao serviço por meio do console do Organizations, da CLI ou do SDK.

Somente um administrador na conta gerencial do Organizations pode remover um administrador delegado para uma Resposta a um incidente de segurança. É possível remover a conta de administrador delegado usando a operação DeregisterDelegatedAdministrator da CLI ou SDK do Organizations.