[Документация Yandex Cloud](../../index.md) > [Yandex Cloud Detection and Response](../index.md) > Подключение

# Подключение к Yandex Cloud Detection and Response

## Создайте заявку на подключение {#create-ticket}

Заявку создает [владелец организации](../../organization/security/index.md#organization-manager-organizations-owner) или [пользователь с правами администратора](../../organization/security/index.md#organization-manager-admin) на уровне организации.

1. Откройте [главную страницу поддержки](https://kz.center.yandex.cloud/support) в Cloud Center.
1. Нажмите **Создать обращение**.
1. Выберите формат обращения **Вопрос**.
1. В поле **Сервис** укажите сервис `Yandex Cloud Detection and Response`.
1. В поле **Тема** введите тему, например: `Запрос на подключение к YCDR`.
1. Нажмите **Продолжить** и в текстовом поле опишите запрос. Укажите, что хотите подключить организацию к YCDR. Организация подключается целиком — со всеми облаками и каталогами.
1. Отправьте обращение.
1. Сохраните идентификатор созданного обращения — он понадобится далее.

После обработки заявки Yandex Cloud выдаст необходимые разрешения для доступа к сервису.

## Создайте приемник алертов {#create-alert-sink}

[Приемник алертов](../../security-deck/concepts/workspace.md#alert-sinks) — это ресурс, в который YCDR будет направлять сгенерированные [алерты](../../security-deck/concepts/alerts.md). Разместите его в отдельном каталоге.

{% note info %}

Для создания приемника алертов у вас должна быть роль [security-deck.admin](../../security-deck/security/index.md#security-deck-admin) или одна из ролей [resource-manager.admin](../../iam/roles-reference.md#resource-manager-admin), [resource-manager.editor](../../iam/roles-reference.md#resource-manager-editor) на каталог или облако.

{% endnote %}

1. [Создайте](../../resource-manager/operations/folder/create.md) отдельный каталог в выбранном облаке.
1. [Назначьте](../../iam/operations/roles/grant.md) роль `editor` на этот каталог только аналитикам центра мониторинга и реагирования на инциденты информационной безопасности ([SOC](../../security/standarts.md#incident-resp), Security Operations Center) и сотрудникам службы безопасности.
1. [Перейдите](https://center.yandex.cloud/security/) в сервис Security Deck.
1. На панели слева выберите **Параметры Security Deck**.
1. Откройте вкладку **Приёмники алертов**.
1. Чтобы создать приемник алертов, нажмите **Создать приёмник**.
1. В открывшемся окне:
   * Введите имя приемника и при необходимости описание.
   * В поле **Каталог** выберите созданный ранее каталог.
   * Нажмите **Создать приёмник**.
1. Сохраните идентификатор созданного приемника — он понадобится на следующем шаге.

## Передайте данные в Yandex Cloud {#provide-data}

1. Откройте [главную страницу поддержки](https://kz.center.yandex.cloud/support) в Cloud Center.
1. В списке обращений выберите [созданную ранее](#create-ticket) заявку. Чтобы найти ее, укажите идентификатор в поле **Поиск**.
1. Добавьте в заявку данные:
   * [Идентификатор](https://center.yandex.cloud/security//settings/alert-sink) приемника алертов, созданного ранее.
   * [Идентификатор федерации](#get-federation-id), если используется федеративная аутентификация.
   * Почтовые домены — если используются учетные записи Яндекс 360 или другие корпоративные аккаунты.
   * Адреса электронной почты для получения алертов. Можно указать до пяти адресов.
1. Нажмите **Отправить**.

При необходимости продублируйте данные в рабочем чате или по электронной почте.

Дождитесь ответа в тикете о том, что организация подключена к YCDR.

### Как получить идентификатор федерации {#get-federation-id}

1. Войдите в сервис [Yandex Identity Hub](https://kz.center.yandex.cloud/organization).
1. На панели слева выберите ![VectorSquare](../../_assets/console-icons/vector-square.svg) **Федерации**.
1. В строке с нужной федерацией скопируйте и сохраните значение поля **Идентификатор**.

## Подключение журналов Audit Trails {#audit-trails}

Yandex Cloud подключит журналы Audit Trails самостоятельно — никаких действий с вашей стороны не требуется.

В сервисе [Yandex Identity Hub](https://kz.center.yandex.cloud/organization), в разделе ![persons-lock](../../_assets/console-icons/persons-lock.svg) **Права доступа**, появятся сервисные учетные записи:
 
* `yc-security-shadow-trail` с идентификатором `yc.security.shadow-trail` и ролью [audit-trails.viewer](../../audit-trails/security/index.md#at-viewer) — для чтения аудитных логов;
* `yc-security-secops-soar-main` с идентификатором `yc.security.secops-soar-main` и ролью [security-deck.editor](../../security-deck/security/index.md#security-deck-editor) — для чтения комментариев из приемника алертов и интеграции с ним.

## Настройка сканирования мисконфигураций {#config-scan}

YCDR сканирует метаданные конфигурации облачных ресурсов и выявляет мисконфигурации — небезопасные настройки инфраструктуры. Пользовательские данные не используются.

Сканирование выполняется от имени учетной записи `yaem-xxxxxx-sa` с идентификатором `yc.yaem-xxxxxx.yaem-sa` и ролью [auditor](../../iam/roles-reference.md#auditor). Это наименее привилегированная роль: она позволяет только читать конфигурацию и метаданные ресурсов.

{% note warning %}

Метаданные конфигурации не содержат конфиденциальной информации. Дополнительное соглашение не требуется — достаточно NDA (Non-Disclosure Agreement), подписанного при заключении договора с Yandex Cloud.

{% endnote %}

## Настройте роли {#configure-roles}

[Назначьте](../../iam/operations/roles/grant.md) пользователям роли в зависимости от их задач:

* Для просмотра дашбордов с мисконфигурациями назначьте на организацию роль [ycdr.admin](../security/index.md#ycdr-admin).
* Для работы только с алертами назначьте на облако или каталог, где находится приемник алертов, роль [security-deck.editor](../../security-deck/security/index.md#security-deck-editor).

## Устраните мисконфигурации {#fix-misconfigs}

После завершения сканирования результаты будут доступны на специальном дашборде в разделе **YCDR** сервиса [Yandex Security Deck](https://center.yandex.cloud/security/).

Не все найденные мисконфигурации требуют исправления. Часть настроек соответствует вашим требованиям или особенностям инфраструктуры (например, открытый порт нужен для работы конкретного сервиса). Проанализируйте отчет и запланируйте устранение только реальных мисконфигураций. Это повысит безопасность облака и снизит количество ложноположительных срабатываний алертов.

## Протестируйте сбор событий и алертов {#test}

После настройки сбора событий проверьте, что YCDR корректно реагирует на подозрительные действия:

1. Сгенерируйте подозрительные события одним из способов:
   * вручную выполните подозрительные действия в облаке, например, создайте сервисный аккаунт с избыточными правами или предоставьте публичный доступ к бакету Object Storage;
   * используйте систему автогенерации тестовых атак на основе [Stratus Red Team](https://stratus-red-team.cloud/).
1. Убедитесь, что по этим событиям в интерфейсе YCDR появились алерты.

## Что дальше {#whats-next}

* Узнайте больше о [расследованиях](investigations/manage-investigations.md).
* Управляйте [запросами](queries/manage-queries.md) на языке KQL (Kusto Query Language).