AWS Security Incident Response は、最も重要なタイミングでの対応に役立ちます。このサービスでは、ルーチンタスクからリソースを解放するためのセキュリティの検出結果の自動モニタリングと調査、対応の調整を合理化するためのコミュニケーションおよびコラボレーション機能、AWS Customer Incident Response Team (CIRT) への 24 時間 365 日の直接アクセスを提供します。
Security Incident Response では、AWS Security Hub を通じて Amazon GuardDuty およびサポートされているサードパーティツールからのセキュリティに関する検出結果をモニタリングし、トリアージし、調査します。このサービスにより、自動化と顧客固有の情報が使用され、予想される行動に基づいて検出結果が自動的にフィルタリングされ、早急な対応が必要なものがエスカレーションされます。
セキュリティインシデント対応のパフォーマンスを評価および強化するための主要なメトリクスを含むサービスダッシュボードにアクセスできます。ダッシュボードには、平均解決時間 (MTTR)、指定された期間内の未解決ケースと解決済みケース、トリアージされた検出結果の数などの重要なデータが表示されます。この一元化されたビューにより、手動でデータを収集したり、カスタムレポートを作成したりする必要がなくなりました。
パーソナライズされたインシデント対応チームを結成することで、関係者の調整にかかる時間を短縮できます。このチームには、サービスを通じてセキュリティケースが作成されるたびに、すぐにメール通知が届きます。このチームメンバーに、ケースへのアクセスを制御し、最小特権を維持するために必要な権限を付与します。
AWS CIRT が使用しているのと同じセキュリティプレイブックにアクセスできます。プレイブックには、Kubernetes クラスターで起動された特権コンテナの検出、通常とは異なる ID およびアクセス管理動作の特定、ランサムウェアイベントへの対応など、一般的なシナリオが網羅されています。
セキュリティケースを作成すると、インシデント対応チームの専任チームメンバーが 15 分以内にそのケースに対応します。AWS CIRT には、実際のシナリオに基づいて組織に関する深い知識を蓄積し、セキュリティイベントからの顧客の復旧を支援してきた長年の経験があります。
セキュリティイベントが発生したら、インシデントに関連するすべてのアクティビティを包括するケース履歴を入手します。この包括的な履歴により、インシデント後の体系的なレビューが容易になり、対応の有効性を評価し、セキュリティ体制を改善する機会を特定できます。