Подключение к Yandex Cloud Detection and Response

Создайте заявку на подключениеСоздайте заявку на подключение

Заявку создает владелец организации или пользователь с правами администратора на уровне организации.

1. Откройте главную страницу поддержки в Cloud Center.
2. Нажмите Создать обращение.
3. Выберите формат обращения Вопрос.
4. В поле Сервис укажите сервис Yandex Cloud Detection and Response.
5. В поле Тема введите тему, например: Запрос на подключение к YCDR.
6. Нажмите Продолжить и в текстовом поле опишите запрос. Укажите, что хотите подключить организацию к YCDR. Организация подключается целиком — со всеми облаками и каталогами.
7. Отправьте обращение.
8. Сохраните идентификатор созданного обращения — он понадобится далее.

После обработки заявки Yandex Cloud выдаст необходимые разрешения для доступа к сервису.

Создайте приемник алертовСоздайте приемник алертов

Приемник алертов — это ресурс, в который YCDR будет направлять сгенерированные алерты. Разместите его в отдельном каталоге.

1. Создайте отдельный каталог в выбранном облаке.
2. Назначьте роль editor на этот каталог только аналитикам центра мониторинга и реагирования на инциденты информационной безопасности (SOC, Security Operations Center) и сотрудникам службы безопасности.
3. Перейдите в сервис Security Deck.
4. На панели слева выберите Параметры Security Deck.
5. Откройте вкладку Приёмники алертов.
6. Чтобы создать приемник алертов, нажмите Создать приёмник.
7. В открывшемся окне:
   • Введите имя приемника и при необходимости описание.
   • В поле Каталог выберите созданный ранее каталог.
   • Нажмите Создать приёмник.
8. Сохраните идентификатор созданного приемника — он понадобится на следующем шаге.

Передайте данные в Yandex CloudПередайте данные в Yandex Cloud

1. Откройте главную страницу поддержки в Cloud Center.
2. В списке обращений выберите созданную ранее заявку. Чтобы найти ее, укажите идентификатор в поле Поиск.
3. Добавьте в заявку данные:
   • Идентификатор приемника алертов, созданного ранее.
   • Идентификатор федерации, если используется федеративная аутентификация.
   • Почтовые домены — если используются учетные записи Яндекс 360 или другие корпоративные аккаунты.
   • Адреса электронной почты для получения алертов. Можно указать до пяти адресов.
4. Нажмите Отправить.

При необходимости продублируйте данные в рабочем чате или по электронной почте.

Дождитесь ответа в тикете о том, что организация подключена к YCDR.

Как получить идентификатор федерацииКак получить идентификатор федерации

1. Войдите в сервис Yandex Identity Hub.
2. На панели слева выберите Федерации.
3. В строке с нужной федерацией скопируйте и сохраните значение поля Идентификатор.

Подключение журналов Audit TrailsПодключение журналов Audit Trails

Yandex Cloud подключит журналы Audit Trails самостоятельно — никаких действий с вашей стороны не требуется.

В сервисе Yandex Identity Hub, в разделе Права доступа, появятся сервисные учетные записи:

• yc-security-shadow-trail с идентификатором yc.security.shadow-trail и ролью audit-trails.viewer — для чтения аудитных логов;
• yc-security-secops-soar-main с идентификатором yc.security.secops-soar-main и ролью security-deck.editor — для чтения комментариев из приемника алертов и интеграции с ним.

Настройка сканирования мисконфигурацийНастройка сканирования мисконфигураций

YCDR сканирует метаданные конфигурации облачных ресурсов и выявляет мисконфигурации — небезопасные настройки инфраструктуры. Пользовательские данные не используются.

Сканирование выполняется от имени учетной записи yaem-xxxxxx-sa с идентификатором yc.yaem-xxxxxx.yaem-sa и ролью auditor. Это наименее привилегированная роль: она позволяет только читать конфигурацию и метаданные ресурсов.

Настройте ролиНастройте роли

Назначьте пользователям роли в зависимости от их задач:

• Для просмотра дашбордов с мисконфигурациями назначьте на организацию роль ycdr.admin.
• Для работы только с алертами назначьте на облако или каталог, где находится приемник алертов, роль security-deck.editor.

Устраните мисконфигурацииУстраните мисконфигурации

После завершения сканирования результаты будут доступны на специальном дашборде в разделе YCDR сервиса Yandex Security Deck.

Не все найденные мисконфигурации требуют исправления. Часть настроек соответствует вашим требованиям или особенностям инфраструктуры (например, открытый порт нужен для работы конкретного сервиса). Проанализируйте отчет и запланируйте устранение только реальных мисконфигураций. Это повысит безопасность облака и снизит количество ложноположительных срабатываний алертов.

Протестируйте сбор событий и алертовПротестируйте сбор событий и алертов

После настройки сбора событий проверьте, что YCDR корректно реагирует на подозрительные действия:

1. Сгенерируйте подозрительные события одним из способов:
   • вручную выполните подозрительные действия в облаке, например, создайте сервисный аккаунт с избыточными правами или предоставьте публичный доступ к бакету Object Storage;
   • используйте систему автогенерации тестовых атак на основе Stratus Red Team.
2. Убедитесь, что по этим событиям в интерфейсе YCDR появились алерты.

Что дальшеЧто дальше

• Узнайте больше о расследованиях.
• Управляйте запросами на языке KQL (Kusto Query Language).