Security Hub deaktivieren

Security Hub für ein einzelnes Konto deaktivieren

Wenn Ihr Konto nicht Teil einer Organisation ist, können Sie Security Hub jederzeit in der Security Hub-Konsole deaktivieren oder die DisableSecurityHubV2 API verwenden. Wenn Sie Security Hub deaktivieren, werden keine Ergebnisse von Erkennungsmodulen mehr aufgenommen. Außerdem verlieren Sie den Zugriff auf vorhandene Ergebnisse, Integrationen und Konfigurationen.

Wenn Sie Security Hub für Ihr Konto in allen Regionen deaktivieren, löscht Security Hub auch den mit dem Dienst verknüpften IAM Access Analyzer, der bei der Aktivierung des Dienstes erstellt wurde. Wenn das automatische Löschen fehlschlägt, können Sie den Analyzer löschen, indem Sie den IAM Access Analyzer-API-Vorgang aufrufen. DeleteServiceLinkedAnalyzer Dieser Vorgang ist erst erfolgreich, nachdem Security Hub für Ihr Konto vollständig deaktiviert wurde. Wenn Sie Security Hub in einer einzelnen Region deaktivieren, aber in anderen Regionen weiterhin aktiviert sind, wird die Analyse ungenutzter Zugriffe weiterhin ausgeführt und die Ergebnisse werden weiterhin in Ihren verbleibenden aktivierten Regionen repliziert.

So deaktivieren Sie Security Hub

1. Melden Sie sich mit Ihren Anmeldedaten bei Ihrem AWS Konto an und öffnen Sie die Security Hub-Konsole unter https://console.aws.amazon.com/securityhub/v2/home.

2. Wählen Sie im Navigationsbereich Allgemein aus.

3. Wählen Sie in Security Hub die Option Deaktivieren aus. Geben Sie Disable im Popup-Fenster das Wort ein und wählen Sie Deaktivieren.

Security Hub unternehmensweit deaktivieren

Wenn Sie der delegierte Administrator für eine AWS Organisation sind, haben Sie zwei Möglichkeiten, Security Hub für alle Mitgliedskonten zu deaktivieren.

Option 1: Security Hub mit Erkennungsmodulen deaktivieren

Sie können die Security Hub-Bereitstellung (grundlegende und zusätzliche Funktionen) und die Richtlinie aus dem Richtlinienkatalog in Ihrem delegierten Administratorkonto nutzen, um Security Hub zusammen mit Amazon Inspector für bestimmte Organisationseinheiten, Konten oder Regionen zu deaktivieren.

Um Security Hub und Amazon Inspector mithilfe einer Richtlinie für alle Mitgliedskonten zu deaktivieren

1. Melden Sie sich mit Ihrem AWS Konto mit Ihren delegierten Administratoranmeldedaten an. Öffnen Sie die Security Hub-Konsole unter https://console.aws.amazon.com/securityhub/v2/home.

2. Wählen Sie im Navigationsbereich Management und dann Configurations aus.

3. Wählen Sie Security Hub (grundlegende und zusätzliche Funktionen) aus dem Konfigurationskatalog aus.

4. Geben Sie auf der Seite Security Hub konfigurieren im Abschnitt Details einen Namen und eine Beschreibung für die Richtlinie ein (z. B. „Security Hub Disablement Policy“).

5. Wählen Sie im Abschnitt Kontoauswahl eine der folgenden Optionen aus. Wählen Sie Alle Organisationseinheiten und Konten, wenn Sie die Deaktivierung auf alle Organisationseinheiten und Konten anwenden möchten. Wählen Sie Bestimmte Organisationseinheiten und Konten, wenn Sie die Deaktivierung auf bestimmte Organisationseinheiten und Konten anwenden möchten. Wenn Sie diese Option wählen, verwenden Sie die Suchleiste oder den Organisationsstrukturbaum, um die Zielorganisationseinheiten und Konten anzugeben.

6. Wählen Sie im Abschnitt Regionen die Option Alle Regionen deaktivieren aus, um Security Hub in allen Regionen zu deaktivieren. Wählen Sie optional, ob neue Regionen automatisch deaktiviert werden sollen. Wählen Sie „Regionen angeben“, um auszuwählen, welche spezifischen Regionen Sie deaktivieren möchten.

7. (Optional) Informationen zu den erweiterten Einstellungen finden Sie in der Anleitung von AWS Organizations.

8. (Optional) Fügen Sie für Ressourcen-Tags Tags als Schlüssel-Wert-Paare hinzu, damit Sie die Konfiguration leichter identifizieren können.

9. Wählen Sie Weiter aus.

10. Überprüfen Sie Ihre Änderungen und wählen Sie dann Anwenden. Ihre Zielkonten werden auf der Grundlage der Richtlinie konfiguriert. Der Konfigurationsstatus Ihrer Richtlinie wird oben auf der Seite „Richtlinien“ angezeigt.

Amazon GuardDuty deaktivieren und AWS Security Hub CSPM

Für GuardDuty und Security Hub CSPM-Funktionen müssen Sie die Funktionen in den jeweiligen delegierten Administratorkonten manuell deaktivieren. GuardDuty und Security Hub CSPM verwenden Bereitstellungen (einmalige Aktionen) anstelle von Richtlinien. Daher muss die Deaktivierung manuell von den jeweiligen Konsolen aus durchgeführt werden.

Option 2: Nur Security Hub deaktivieren

Wenn Sie bereits eine Security Hub-Richtlinie haben und nur Security Hub deaktivieren möchten, ohne Amazon Inspector oder Security Hub CSPM zu beeinträchtigen GuardDuty, gehen Sie wie folgt vor.

Um Security Hub nur für Mitgliedskonten zu deaktivieren

1. Melden Sie sich mit Ihrem AWS Konto mit Ihren delegierten Administratoranmeldedaten an. Öffnen Sie die Security Hub-Konsole unter https://console.aws.amazon.com/securityhub/v2/home.

2. Wählen Sie im Navigationsbereich Management und dann Configurations aus.

3. Wählen Sie eine Ihrer Security Hub-Richtlinien aus den konfigurierten Richtlinien aus.

4. Wählen Sie Richtlinie bearbeiten und wählen Sie im Abschnitt Kontoauswahl eine der folgenden Optionen aus. Wählen Sie Alle Organisationseinheiten und Konten aus, wenn Sie die Deaktivierung auf alle Organisationseinheiten und Konten anwenden möchten. Wählen Sie Bestimmte Organisationseinheiten und Konten, wenn Sie die Deaktivierung auf bestimmte Organisationseinheiten und Konten anwenden möchten. Wenn Sie diese Option wählen, verwenden Sie die Suchleiste oder den Organisationsstrukturbaum, um die Zielorganisationseinheiten und Konten anzugeben.

5. Wählen Sie im Abschnitt Regionen die Option Alle Regionen deaktivieren aus, um Security Hub in allen Regionen zu deaktivieren. Wählen Sie optional, ob neue Regionen automatisch deaktiviert werden sollen. Wählen Sie „Regionen angeben“, um auszuwählen, welche spezifischen Regionen Sie deaktivieren möchten.

6. (Optional) Informationen zu den erweiterten Einstellungen finden Sie in den Anleitungen von AWS Organisationen.

7. (Optional) Fügen Sie für Ressourcen-Tags Tags als Schlüssel-Wert-Paare hinzu, damit Sie die Konfiguration leichter identifizieren können.

8. Wählen Sie Weiter aus.

9. Überprüfen Sie Ihre Änderungen und wählen Sie dann Anwenden. Ihre Zielkonten werden auf der Grundlage der Richtlinie konfiguriert. Der Konfigurationsstatus Ihrer Richtlinie wird oben auf der Seite „Konfigurationen“ angezeigt.

Auswirkungen auf andere Sicherheitsdienste

Die Deaktivierung von Security Hub über eine Security Hub-Richtlinie hat keine Auswirkungen auf die Konfigurationen von Security Hub GuardDuty, CSPM und Amazon Inspector.

Wenn Sie Amazon Inspector nur für Mitgliedskonten deaktivieren müssen, können Sie die Vulnerability Management-Richtlinie aus dem Security Hub-Konfigurationskatalog verwenden. Navigieren Sie zur Security Hub-Konfigurationsseite, wählen Sie Vulnerability Management in Amazon Inspector aus und erstellen Sie eine Deaktivierungsrichtlinie, indem Sie die Schritte befolgen, die dem obigen Verfahren zur Deaktivierung von Security Hub ähneln.