Ermittlung von Sicherheitseinstufungen

Auf der Übersichtsseite und der Kontrollseite der Security Hub Hub-Konsole wird eine Zusammenfassung der Sicherheitsbewertung für alle Ihre aktivierten Standards angezeigt. Auf der Seite Sicherheitsstandards zeigt Security Hub außerdem eine Sicherheitsbewertung von 0 bis 100 Prozent für jeden aktivierten Standard an.

Wenn Sie Security Hub zum ersten Mal aktivieren, berechnet Security Hub die zusammenfassende Sicherheitsbewertung und die Standardsicherheitsbewertungen innerhalb von 30 Minuten nach Ihrem ersten Besuch der Übersichtsseite oder der Seite Sicherheitsstandards in der Security Hub Hub-Konsole. Bewertungen werden nur für Standards generiert, die aktiviert sind, wenn Sie diese Seiten besuchen. Rufen Sie den GetEnabledStandardsAPIVorgang auf, um eine Liste der derzeit aktivierten Standards anzuzeigen. Darüber hinaus muss die AWS Config Ressourcenaufzeichnung konfiguriert werden, damit die Ergebnisse angezeigt werden. Die zusammenfassende Sicherheitsbewertung ist der Durchschnitt der Standardsicherheitsbewertungen.

Nach der erstmaligen Generierung der Ergebnisse aktualisiert Security Hub die Sicherheitswerte alle 24 Stunden. Security Hub zeigt einen Zeitstempel an, der angibt, wann eine Sicherheitsbewertung zuletzt aktualisiert wurde.

Anmerkung

In den chinesischen Regionen und kann es bis zu 24 Stunden dauern, bis zum ersten Mal Sicherheitsbewertungen generiert werden. AWS GovCloud (US) Region

Wenn Sie die Option „Konsolidierte Kontrollergebnisse“ aktivieren, kann es bis zu 24 Stunden dauern, bis Ihre Sicherheitsbewertungen aktualisiert werden. Darüber hinaus werden durch die Aktivierung einer neuen Aggregationsregion oder die Aktualisierung verknüpfter Regionen bestehende Sicherheitsbewertungen zurückgesetzt. Es kann bis zu 24 Stunden dauern, bis Security Hub neue Sicherheitsbewertungen generiert, die Daten aus den aktualisierten Regionen enthalten.

Wie werden Sicherheitswerte berechnet

Sicherheitswerte stellen das Verhältnis zwischen bestandenen Kontrollen und aktivierten Kontrollen dar. Die Punktzahl wird als Prozentsatz angezeigt, der auf die nächste ganze Zahl auf- oder abgerundet ist.

Security Hub berechnet eine zusammenfassende Sicherheitsbewertung für alle Ihre aktivierten Standards. Security Hub berechnet auch eine Sicherheitsbewertung für jeden aktivierten Standard. Für die Berechnung der Punktzahl umfassen aktivierte Kontrollen Kontrollen mit dem Status Bestanden, Fehlgeschlagen und Unbekannt. Steuerelemente mit dem Status Keine Daten sind von der Punkteberechnung ausgeschlossen.

Security Hub ignoriert archivierte und unterdrückte Ergebnisse bei der Berechnung des Kontrollstatus. Dies kann sich auf die Sicherheitswerte auswirken. Wenn Sie beispielsweise alle fehlgeschlagenen Ergebnisse für eine Kontrolle unterdrücken, erhält sie den Status Bestanden, was wiederum Ihre Sicherheitswerte verbessern kann. Weitere Informationen zum Kontrollstatus finden Sie unterKonformitätsstatus und Kontrollstatus.

Beispiel für eine Bewertung:

Standard	Kontrollen bestanden	Fehlgeschlagene Kontrollen	Unbekannte Kontrollen	Standardpunktzahl
AWS Bewährte grundlegende Sicherheitsmethoden v1.0.0	168	22	0	88%
CIS AWS Benchmark v1.4.0 für Stiftungen	8	29	0	22%
CIS AWS Benchmark für Stiftungen v1.2.0	6	35	0	15%
NISTSonderpublikation 800-53 Revision 5	159	56	0	74%
PCIDSSv3.2.1	28	17	0	62%

Bei der Berechnung der zusammenfassenden Sicherheitsbewertung zählt Security Hub jede Kontrolle standardübergreifend nur einmal. Wenn Sie beispielsweise ein Steuerelement aktiviert haben, das für drei aktivierte Standards gilt, zählt es für Bewertungszwecke nur als ein aktiviertes Steuerelement.

In diesem Beispiel beträgt die Gesamtzahl der aktivierten Kontrollen für alle aktivierten Standards zwar 528, Security Hub zählt jedoch jedes einzelne Steuerelement zu Bewertungszwecken nur einmal. Die Anzahl der einzelnen aktivierten Kontrollen liegt wahrscheinlich unter 528. Wenn wir davon ausgehen, dass die Anzahl der eindeutigen aktivierten Kontrollen 515 und die Anzahl der eindeutigen bestandenen Kontrollen 357 beträgt, liegt der Gesamtwert bei 69%. Diese Punktzahl wird berechnet, indem die Anzahl der eindeutigen bestandenen Kontrollen durch die Anzahl der eindeutigen aktivierten Kontrollen dividiert wird.

Möglicherweise haben Sie eine Gesamtpunktzahl, die von der Standardsicherheitsbewertung abweicht, auch wenn Sie in Ihrem Konto in der aktuellen Region nur einen Standard aktiviert haben. Dies kann der Fall sein, wenn Sie mit einem Administratorkonto angemeldet sind und für Mitgliedskonten zusätzliche Standards oder andere Standards aktiviert sind. Dies kann auch der Fall sein, wenn Sie sich die Punktzahl aus der Aggregationsregion ansehen und zusätzliche Standards oder andere Standards in verknüpften Regionen aktiviert sind.

Sicherheitsbewertungen für Administratorkonten

Wenn Sie mit einem Administratorkonto angemeldet sind, beziehen sich die Sicherheitsbewertung und die Standardwerte auf den Kontrollstatus im Administratorkonto und in allen Mitgliedskonten.

Wenn der Status einer Kontrolle auch nur in einem Mitgliedskonto Fehlgeschlagen lautet, lautet ihr Status im Administratorkonto Fehlgeschlagen und wirkt sich auf die Punktzahlen des Administratorkontos aus.

Wenn Sie mit einem Administratorkonto angemeldet sind und Ergebnisse in einer Aggregationsregion anzeigen, berücksichtigen die Sicherheitsbewertungen den Kontrollstatus in allen Mitgliedskonten und allen verknüpften Regionen.

Sicherheitswerte, wenn Sie eine Aggregationsregion festgelegt haben

Wenn Sie eine Aggregation festgelegt haben AWS-Region, berücksichtigen die zusammenfassende Sicherheitsbewertung und die Standardwerte den Kontrollstatus in allen verknüpfte Regionen.

Wenn der Status eines Steuerelements auch nur in einer verknüpften Region „Fehlgeschlagen“ lautet, lautet sein Status in der Aggregationsregion „Fehlgeschlagen“, was sich auf die Werte der Aggregationsregion auswirkt.

Wenn Sie mit einem Administratorkonto angemeldet sind und sich Punktzahlen in einer Aggregationsregion ansehen, berücksichtigen die Sicherheitsbewertungen den Kontrollstatus in allen Mitgliedskonten und allen verknüpften Regionen.