Vom Service verwalteter Standard: AWS Control Tower - AWS Security Hub
Was ist Service-Managed Standard:? AWS Control TowerDen Standard erstellenSteuerungen im Standard aktivieren und deaktivierenAktivierungsstatus und Kontrollstatus anzeigenDen Standard löschenDas Feldformat für Service-Managed Standard finden: AWS Control TowerKontrollen, die für Service-Managed Standard gelten: AWS Control Tower

Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Vom Service verwalteter Standard: AWS Control Tower

Dieser Abschnitt enthält Informationen zum Service-Managed Standard: AWS Control Tower.

Was ist Service-Managed Standard:? AWS Control Tower

Dieser Standard richtet sich an Benutzer von AWS Security Hub und AWS Control Tower. Damit können Sie die proaktiven Kontrollen AWS Control Tower neben den detektiven Kontrollen von Security Hub im AWS Control Tower Service konfigurieren.

Proaktive Kontrollen tragen dazu bei, dass Sie die Vorschriften AWS-Konten einhalten, da sie Aktionen kennzeichnen, die zu Richtlinienverstößen oder Fehlkonfigurationen führen können. Detective Controls erkennt die Nichtkonformität von Ressourcen (z. B. Fehlkonfigurationen) in Ihrem. AWS-Konten Indem Sie proaktive und detektive Kontrollen für Ihre AWS Umgebung aktivieren, können Sie Ihre Sicherheitslage in verschiedenen Entwicklungsphasen verbessern.

Tipp

Von Services verwaltete Standards unterscheiden sich von den Standards, die AWS Security Hub verwaltet. Beispielsweise müssen Sie im Verwaltungsdienst einen vom Dienst verwalteten Standard erstellen und löschen. Weitere Informationen finden Sie unter Vom Service verwaltete Standards.

In der Security Hub Hub-Konsole und der API können Sie Service-Managed Standard: AWS Control Tower neben anderen Security Hub Hub-Standards anzeigen.

Den Standard erstellen

Dieser Standard ist nur verfügbar, wenn Sie den Standard in erstellen AWS Control Tower. AWS Control Tower erstellt den Standard, wenn Sie ein entsprechendes Steuerelement zum ersten Mal mithilfe einer der folgenden Methoden aktivieren:

Security Hub-Steuerelemente werden in der AWS Control Tower Konsole als SH identifiziert. ControlID (zum Beispiel SH). CodeBuild.1).

Wenn Sie den Standard erstellen und Security Hub noch nicht aktiviert haben, wird Security Hub AWS Control Tower auch für Sie aktiviert.

Wenn Sie ihn nicht eingerichtet haben AWS Control Tower, können Sie diesen Standard in der Security Hub-Konsole, der Security Hub-API oder nicht anzeigen oder darauf zugreifen AWS CLI. Selbst wenn Sie ihn eingerichtet haben AWS Control Tower, können Sie diesen Standard in Security Hub nicht anzeigen oder darauf zugreifen, ohne den Standard zuerst AWS Control Tower mit einer der oben genannten Methoden zu erstellen.

Dieser Standard ist nur dort verfügbar, AWS-Regionen wo er verfügbar AWS Control Tower ist, einschließlich AWS GovCloud (US).

Steuerungen im Standard aktivieren und deaktivieren

Nachdem Sie den Standard in der AWS Control Tower Konsole erstellt haben, können Sie den Standard und die verfügbaren Steuerelemente in beiden Diensten anzeigen.

Nachdem Sie den Standard zum ersten Mal erstellt haben, enthält er keine Steuerelemente, die automatisch aktiviert werden. Wenn Security Hub neue Steuerelemente hinzufügt, werden diese außerdem nicht automatisch für Service-Managed Standard: AWS Control Tower aktiviert. Sie sollten die Kontrollen für den Standard AWS Control Tower mithilfe einer der folgenden Methoden aktivieren und deaktivieren:

Wenn Sie den Aktivierungsstatus eines Steuerelements in ändern AWS Control Tower, wird die Änderung auch in Security Hub widergespiegelt.

Die Deaktivierung eines Steuerelements in Security Hub, das aktiviert ist, AWS Control Tower führt jedoch zu Kontrollabweichungen. Der Kontrollstatus in AWS Control Tower wird als Drifted angezeigt. Sie können diese Abweichung beheben, indem Sie in der AWS Control Tower Konsole die Option OU erneut registrieren auswählen oder die Steuerung AWS Control Tower mithilfe einer der oben genannten Methoden deaktivieren und erneut aktivieren.

Wenn Sie die Aktivierungs- und Deaktivierungsaktionen in abschließen, können Sie Kontrollabweichungen vermeiden. AWS Control Tower

Wenn Sie Kontrollen in aktivieren oder deaktivieren AWS Control Tower, gilt die Aktion für alle Konten und Regionen. Wenn Sie Steuerungen in Security Hub aktivieren und deaktivieren (für diesen Standard nicht empfohlen), gilt die Aktion nur für das aktuelle Konto und die Region.

Anmerkung

Die zentrale Konfiguration kann nicht zur Verwaltung von Service-Managed Standard: AWS Control Tower verwendet werden. Wenn Sie die zentrale Konfiguration verwenden, können Sie nur den AWS Control Tower Dienst verwenden, um die Steuerungen in diesem Standard für ein zentral verwaltetes Konto zu aktivieren und zu deaktivieren.

Aktivierungsstatus und Kontrollstatus anzeigen

Sie können den Aktivierungsstatus einer Kontrolle mit einer der folgenden Methoden anzeigen:

  • Security Hub Hub-Konsole, Security Hub Hub-API oder AWS CLI

  • AWS Control Tower Konsole

  • AWS Control Tower API, um eine Liste der aktivierten Steuerelemente zu sehen (rufen Sie die ListEnabledControlsAPI auf)

  • AWS CLI um eine Liste der aktivierten Steuerelemente zu sehen (führen Sie den list-enabled-controlsBefehl aus)

Ein Steuerelement, das Sie deaktivieren, AWS Control Tower hat den Aktivierungsstatus Disabled in Security Hub, sofern Sie dieses Steuerelement nicht ausdrücklich in Security Hub aktivieren.

Security Hub berechnet den Kontrollstatus auf der Grundlage des Workflow-Status und des Compliance-Status der Kontrollergebnisse. Weitere Informationen zum Aktivierungsstatus und zum Kontrollstatus finden Sie unter. Details für ein Steuerelement anzeigen

Auf der Grundlage des Kontrollstatus berechnet Security Hub eine Sicherheitsbewertung für Service-Managed Standard:. AWS Control Tower Diese Bewertung ist nur in Security Hub verfügbar. Darüber hinaus können Sie Kontrollergebnisse nur in Security Hub anzeigen. Die Standardsicherheitsbewertung und die Kontrollergebnisse sind in nicht verfügbar AWS Control Tower.

Anmerkung

Wenn Sie Kontrollen für Service-Managed Standard: aktivieren AWS Control Tower, kann es bis zu 18 Stunden dauern, bis Security Hub Ergebnisse für Kontrollen generiert, die eine bestehende AWS Config serviceverknüpfte Regel verwenden. Möglicherweise verfügen Sie bereits über serviceverknüpfte Regeln, wenn Sie andere Standards und Kontrollen in Security Hub aktiviert haben. Weitere Informationen finden Sie unter Zeitplan für die Ausführung von Sicherheitsprüfungen.

Den Standard löschen

Sie können diesen Standard löschen, AWS Control Tower indem Sie alle entsprechenden Steuerelemente mit einer der folgenden Methoden deaktivieren:

Durch das Deaktivieren aller Steuerelemente wird der Standard in allen verwalteten Konten und kontrollierten Regionen in gelöscht. AWS Control Tower Wenn Sie den Standard-in löschen, wird er von der Seite Standards der Security Hub Hub-Konsole AWS Control Tower entfernt, und Sie können nicht mehr über die Security Hub Hub-API oder darauf zugreifen AWS CLI.

Anmerkung

Wenn Sie alle Steuerelemente aus dem Standard in Security Hub deaktivieren, wird der Standard nicht deaktiviert oder gelöscht.

Durch die Deaktivierung des Security Hub Hub-Dienstes werden Service-Managed Standard: AWS Control Tower und alle anderen Standards, die Sie aktiviert haben, entfernt.

Das Feldformat für Service-Managed Standard finden: AWS Control Tower

Wenn Sie Service-Managed Standard: erstellen AWS Control Tower und Kontrollen dafür aktivieren, erhalten Sie ab sofort Kontrollergebnisse in Security Hub. Security Hub meldet Kontrollergebnisse in derAWS Format für Sicherheitssuche (ASFF). Dies sind die ASFF-Werte für den Amazon Resource Name (ARN) dieses Standards undGeneratorId:

  • Standard-ARN — arn:aws:us-east-1:securityhub:::standards/service-managed-aws-control-tower/v/1.0.0

  • GeneratorId – service-managed-aws-control-tower/v/1.0.0/CodeBuild.1

Ein Beispiel für einen Befund für Service-Managed Standard: finden Sie AWS Control Tower unterErgebnisse der Stichprobenkontrolle.

Kontrollen, die für Service-Managed Standard gelten: AWS Control Tower

Service-Managed Standard: AWS Control Tower unterstützt eine Teilmenge von Kontrollen, die Teil des FSBP-Standards ( AWS Foundational Security Best Practices) sind. Wählen Sie ein Steuerelement aus der folgenden Tabelle aus, um Informationen zu diesem Steuerelement, einschließlich der Schritte zur Behebung fehlgeschlagener Ergebnisse, anzuzeigen.

Die folgende Liste zeigt die verfügbaren Steuerelemente für Service-Managed Standard:. AWS Control Tower Die regionalen Grenzwerte für Kontrollen entsprechen den regionalen Grenzwerten für die entsprechenden Kontrollen im FSBP-Standard. Diese Liste enthält standardunabhängige IDs für Sicherheitskontrollen. In der AWS Control Tower Konsole sind die Kontroll-IDs als SH formatiert. ControlID (zum Beispiel SH). CodeBuild.1). Wenn in Security Hub konsolidierte Kontrollergebnisse in Ihrem Konto deaktiviert sind, verwendet das ProductFields.ControlId Feld die standardbasierte Kontroll-ID. Die standardbasierte Kontroll-ID ist als CT formatiert. ControlId(zum Beispiel CT. CodeBuild.1).

Weitere Informationen zu diesem Standard finden Sie unter Security Hub-Steuerelemente im AWS Control Tower Benutzerhandbuch.