Security Hub-Steuerelemente, die Sie möglicherweise deaktivieren möchten - AWS Security Hub
Kontrollen, die sich mit globalen Ressourcen befassenKontrollen, die sich mit der CloudTrail Protokollierung befassenSteuerungen, die sich mit CloudWatch Alarmen befassen

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Security Hub-Steuerelemente, die Sie möglicherweise deaktivieren möchten

Wir empfehlen, einige AWS Security Hub Steuerungen zu deaktivieren, um den Suchlärm zu reduzieren und die Kosten zu begrenzen.

Kontrollen, die sich mit globalen Ressourcen befassen

Einige AWS-Services unterstützen globale Ressourcen, was bedeutet, dass Sie von jeder Ressource aus auf die Ressource zugreifen können AWS-Region. Um Kosten zu sparen AWS Config, können Sie die Aufzeichnung globaler Ressourcen in allen Regionen außer einer Region deaktivieren. Nachdem Sie dies getan haben, führt Security Hub jedoch weiterhin Sicherheitsüberprüfungen in allen Regionen durch, in denen eine Kontrolle aktiviert ist, und berechnet Ihnen Gebühren auf der Grundlage der Anzahl der Prüfungen pro Konto pro Region. Um das Suchgeräusch zu reduzieren und die Kosten für Security Hub zu senken, sollten Sie daher auch Kontrollen deaktivieren, die globale Ressourcen in allen Regionen betreffen, mit Ausnahme der Region, in der globale Ressourcen erfasst werden.

Wenn ein Steuerelement globale Ressourcen umfasst, aber nur in einer Region verfügbar ist, können Sie, wenn Sie es in dieser Region deaktivieren, keine Ergebnisse für die zugrunde liegende Ressource abrufen. In diesem Fall empfehlen wir, das Steuerelement aktiviert zu lassen. Wenn Sie die regionsübergreifende Aggregation verwenden, sollte die Region, in der das Steuerelement verfügbar ist, die Aggregationsregion oder eine der verknüpften Regionen sein. Die folgenden Steuerelemente beziehen sich auf globale Ressourcen, sind jedoch nur in einer einzigen Region verfügbar:

  • Alle CloudFront Steuerelemente — Nur in USA Ost (Nord-Virginia) verfügbar

  • GlobalAccelerator.1 — Nur in den USA West (Oregon) verfügbar

  • Route 53.2 — Nur in den USA Ost (Nord-Virginia) verfügbar

  • WAF.1, WAF.6, WAF.7 und WAF.8 — Nur in den USA Ost (Nord-Virginia) verfügbar

Anmerkung

Wenn Sie die zentrale Konfiguration verwenden, deaktiviert Security Hub automatisch Steuerungen, die globale Ressourcen in allen Regionen außer der Heimatregion betreffen. Andere Steuerelemente, die Sie über eine Konfigurationsrichtlinie aktivieren, sind in allen Regionen aktiviert, in denen sie verfügbar sind. Um die Ergebnisse für diese Steuerelemente auf nur eine Region zu beschränken, können Sie Ihre AWS Config Rekordereinstellungen aktualisieren und die globale Ressourcenaufzeichnung in allen Regionen außer der Heimatregion deaktivieren. Wenn Sie die zentrale Konfiguration verwenden, fehlt Ihnen die Abdeckung für ein Steuerelement, das in der Heimatregion und einer der verknüpften Regionen nicht verfügbar ist. Weitere Informationen zur zentralen Konfiguration finden Sie unterSo funktioniert die zentrale Konfiguration.

Wenn Sie die Aufzeichnung globaler Ressourcen in einer oder mehreren Regionen deaktivieren, generiert das Steuerelement [Config.1] AWS Config sollte aktiviert sein, in diesen Regionen ein fehlgeschlagenes Ergebnis. Dies liegt daran, dass Config.1 die Aufzeichnung globaler Ressourcen erfordert, um erfolgreich zu sein. Sie können die Ergebnisse für dieses Steuerelement manuell oder mithilfe einer Automatisierungsregel unterdrücken.

Bei Kontrollen mit einem periodischen Zeitplan ist es erforderlich, sie in Security Hub zu deaktivieren, um eine Abrechnung zu verhindern. Die Einstellung des AWS Config Parameters includeGlobalResourceTypes auf false hat keinen Einfluss auf regelmäßige Security Hub-Steuerungen.

Im Folgenden finden Sie eine Liste der Security Hub-Steuerelemente, die globale Ressourcen betreffen:

Kontrollen, die sich mit der CloudTrail Protokollierung befassen

Dieses Steuerelement befasst sich mit der Verwendung von AWS Key Management Service (AWS KMS) zur Verschlüsselung von AWS CloudTrail Trail-Logs. Wenn Sie diese Pfade in einem zentralen Protokollierungskonto protokollieren, müssen Sie diese Steuerung nur in dem Konto und der Region aktivieren, in der die zentrale Protokollierung stattfindet.

Anmerkung

Wenn Sie die zentrale Konfiguration verwenden, wird der Aktivierungsstatus eines Steuerelements auf die Heimatregion und die verknüpften Regionen verteilt. Sie können ein Steuerelement nicht in einigen Regionen deaktivieren und in anderen aktivieren. Unterdrücken Sie in diesem Fall die Ergebnisse der folgenden Steuerelemente, um das Suchrauschen zu reduzieren.

Steuerungen, die sich mit CloudWatch Alarmen befassen

Wenn Sie Amazon GuardDuty für die Erkennung von Anomalien anstelle von CloudWatch Amazon-Alarmen bevorzugen, können Sie diese Steuerungen deaktivieren, die sich auf CloudWatch Alarme konzentrieren.