Présentation des réponses de Security Command Center

Les réponses (Response) de Security Command Center fournissent un ensemble de fonctionnalités permettant aux organisations de réagir aux menaces et aux failles. Avec cet outil Response, les entreprises peuvent réduire le travail laborieux associé à des tâches chronophages telles que :

  • Informer les propriétaires d'actifs des menaces ou des failles.
  • Répondre aux failles et aux menaces qui bénéficient de correctifs clairs et convenus.

L'outil Response introduit un mécanisme appelé playbooks. Chaque playbook comprend une ou plusieurs actions exécutées de manière séquentielle. Vous pouvez exécuter manuellement des playbooks sur un résultat dans Security Command Center. Par exemple, l'exécution d'un seul playbook a pour effet d'envoyer un e-mail et de planifier des actions supplémentaires qui corrigent un résultat.

Playbooks compatibles

Cette section décrit les playbooks compatibles.

Nom du playbook Description Catégorie de résultats associée
Notifier seulement Envoie une notification aux contacts techniques pour un résultat. TOUS
Appliquer la stratégie de bucket Déplace les liaisons IAM au niveau de l'objet vers le niveau du bucket.

Actions :
  1. Copie les règles d'accès au niveau de l'objet dans les règles au niveau du bucket.
  2. Supprime toutes les règles d'accès au niveau de l'objet.
  3. Envoie une notification aux contacts techniques pour un résultat.
Facultatif : Vous pouvez définir un délai d'attente.		 BUCKET_POLICY_ONLY_DISABLED
Désactiver les adresses IP publiques Désactive l'adresse IP externe pour une instance de machine virtuelle (VM)

Actions :
  1. Définit l'adresse IP externe de la VM sur "None" ou fournit une liste d'adresses IP autorisées.
  2. Envoie une notification aux contacts techniques pour un résultat.
Facultatif : Vous pouvez définir un délai d'attente.		 PUBLIC_IP_ADDRESS
Bloquer les clés SSH au niveau du projet Bloque les clés SSH au niveau du projet pour une instance de VM

Actions :
  1. Réinitialise l'instance de VM associée à un résultat pour bloquer les clés SSH à l'échelle du projet.
  2. Envoie une notification aux contacts techniques pour un résultat.
Facultatif : Vous pouvez définir un délai d'attente.		 COMPUTE_PROJECT_WIDE_SSH_KEYS_ALLOWED

Vous pouvez configurer un playbook avec les options suivantes :

  1. E-mail : lorsque vous exécutez des playbooks sur un résultat, ceux-ci déclenchent des notifications par e-mail. Les notifications par e-mail sont envoyées aux contacts techniques dans Contacts essentiels. Un e-mail par défaut est prérempli avec des instructions sur la manière de répondre à ce résultat, mais vous pouvez le modifier en fonction de vos besoins. Assurez-vous de définir un contact technique. Si aucun contact n'est défini pour ce résultat, l'exécution du playbook échoue.
  2. Délai d'attente : un délai de grâce sélectionné en jours. Lorsque vous déclenchez un playbook, un e-mail de notification est envoyé avant que d'autres actions ne soient entreprises. Le délai permet aux destinataires de l'e-mail d'annuler les actions du playbook avant leur exécution. Pour en savoir plus sur l'exécution d'un playbook et la définition du délai d'attente, consultez la page Exécuter un playbook.

Étapes suivantes