Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Atributos de nivel superior necesarios
Los siguientes atributos de nivel superior en el formato AWS de búsqueda de seguridad (ASFF) son necesarios para todos los hallazgos en Security Hub. Para obtener más información sobre estos atributos obligatorios, consulte AwsSecurityFinding en la Referencia de la API de AWS Security Hub .
AwsAccountId
El Cuenta de AWS identificador al que se aplica el hallazgo.
Ejemplo
"AwsAccountId": "111111111111"
CreatedAt
Indica cuándo se creó el posible problema de seguridad detectado por un resultado.
Ejemplo
"CreatedAt": "2017-03-22T13:22:13.933Z"
nota
Security Hub borra los resultados al cabo de 90 días desde la última actualización o 90 días después de que se crearan si no hay actualizaciones. Para almacenar los hallazgos durante más de 90 días, puedes configurar una regla en Amazon EventBridge que dirija los hallazgos a tu bucket de S3.
Descripción
Una descripción del hallazgo. Este campo puede ser texto reutilizable no específico o información específica de la instancia del hallazgo.
Para los resultados de control que genera Security Hub, este campo proporciona una descripción del control.
Este campo no hace referencia a un estándar si activa los resultados de control consolidados.
Ejemplo
"Description": "This AWS control checks whether AWS Config is enabled in the current account and Region."
GeneratorId
El identificador para el componente específico de la solución (unidad de lógica discreta) que generó un hallazgo.
Para los resultados de control que genera Security Hub, este campo no hace referencia a un estándar si se activan los resultados de control consolidados.
Ejemplo
"GeneratorId": "security-control/Config.1"
Id
El identificador específico del producto para un hallazgo. Para los resultados de control que Security Hub genera, este campo proporciona el nombre de recurso de Amazon (ARN) del resultado.
Este campo no hace referencia a un estándar si activa los resultados de control consolidados.
Ejemplo
"Id": "arn:aws:securityhub:eu-central-1:123456789012:security-control/iam.9/finding/ab6d6a26-a156-48f0-9403-115983e5a956 "
ProductArn
El nombre de recurso de Amazon (ARN) generado por Security Hub que identifica exclusivamente un producto de resultados de terceros después de que el producto se registre en Security Hub.
El formato de este campo es arn:.partition:securityhub:region:account-id:product/company-id/product-id
-
Para AWS los servicios que están integrados con Security Hub,
company-iddebe seraws«» yproduct-iddebe ser el nombre del servicio AWS público. Como AWS los productos y servicios no están asociados a una cuenta, laaccount-idsección del ARN está vacía. AWS los servicios que aún no están integrados con Security Hub se consideran productos de terceros. -
En el caso de productos públicos, el
company-idy elproduct-iddeben ser los valores de ID especificados en el momento del registro. -
En el caso de productos privados, el
company-iddebe ser el ID de la cuenta. Elproduct-iddebe ser la palabra reservada de forma predeterminada o el ID que se especificó en el momento del registro.
Ejemplo
// Private ARN "ProductArn": "arn:aws:securityhub:us-east-1:111111111111:product/111111111111/default" // Public ARN "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty" "ProductArn": "arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro"
Recursos
El Resourcesobjeto proporciona un conjunto de tipos de datos de recursos que describen los AWS recursos a los que se refiere el hallazgo.
Ejemplo
"Resources": [ { "ApplicationArn": "arn:aws:resource-groups:us-west-2:123456789012:group/SampleApp/1234567890abcdef0", "ApplicationName": "SampleApp", "DataClassification": { "DetailedResultsLocation": "Path_to_Folder_Or_File", "Result": { "MimeType": "text/plain", "SizeClassified": 2966026, "AdditionalOccurrences": false, "Status": { "Code": "COMPLETE", "Reason": "Unsupportedfield" }, "SensitiveData": [ { "Category": "PERSONAL_INFORMATION", "Detections": [ { "Count": 34, "Type": "GE_PERSONAL_ID", "Occurrences": { "LineRanges": [ { "Start": 1, "End": 10, "StartColumn": 20 } ], "Pages": [], "Records": [], "Cells": [] } }, { "Count": 59, "Type": "EMAIL_ADDRESS", "Occurrences": { "Pages": [ { "PageNumber": 1, "OffsetRange": { "Start": 1, "End": 100, "StartColumn": 10 }, "LineRange": { "Start": 1, "End": 100, "StartColumn": 10 } } ] } }, { "Count": 2229, "Type": "URL", "Occurrences": { "LineRanges": [ { "Start": 1, "End": 13 } ] } }, { "Count": 13826, "Type": "NameDetection", "Occurrences": { "Records": [ { "RecordIndex": 1, "JsonPath": "$.ssn.value" } ] } }, { "Count": 32, "Type": "AddressDetection" } ], "TotalCount": 32 } ], "CustomDataIdentifiers": { "Detections": [ { "Arn": "1712be25e7c7f53c731fe464f1c869b8", "Name": "1712be25e7c7f53c731fe464f1c869b8", "Count": 2, } ], "TotalCount": 2 } } }, "Type": "AwsEc2Instance", "Id": "arn:aws:ec2:us-west-2:123456789012:instance/i-abcdef01234567890", "Partition": "aws", "Region": "us-west-2", "ResourceRole": "Target", "Tags": { "billingCode": "Lotus-1-2-3", "needsPatching": true }, "Details": { "IamInstanceProfileArn": "arn:aws:iam::123456789012:role/IamInstanceProfileArn", "ImageId": "ami-79fd7eee", "IpV4Addresses": ["1.1.1.1"], "IpV6Addresses": ["2001:db8:1234:1a2b::123"], "KeyName": "testkey", "LaunchedAt": "2018-09-29T01:25:54Z", "MetadataOptions": { "HttpEndpoint": "enabled", "HttpProtocolIpv6": "enabled", "HttpPutResponseHopLimit": 1, "HttpTokens": "optional", "InstanceMetadataTags": "disabled" } }, "NetworkInterfaces": [ { "NetworkInterfaceId": "eni-e5aa89a3" } ], "SubnetId": "PublicSubnet", "Type": "i3.xlarge", "VirtualizationType": "hvm", "VpcId": "TestVPCIpv6" } ]
SchemaVersion
La versión del esquema para el que se está formateado un hallazgo. El valor de este campo debe ser una de las versiones publicadas oficialmente identificadas por AWS. En la versión actual, la versión del esquema AWS Security Finding Format es2018-10-08.
Ejemplo
"SchemaVersion": "2018-10-08"
Gravedad
Define la importancia de un resultado. Para obtener más información sobre este objeto, consulte Severity en la referencia de la API de AWS Security Hub .
Severity es a la vez un objeto de nivel superior en un resultado y está anidado debajo del objeto FindingProviderFields.
Solo la API de BatchUpdateFindings debe actualizar el valor del objeto Severity de nivel superior de un resultado.
Para proporcionar información sobre la gravedad, los proveedores de resultados deben actualizar el objeto Severity de FindingProviderFields cuando se hace una solicitud a la API BatchImportFindings.
Si una solicitud de BatchImportFindings de un nuevo resultado solo proporciona Label o solo proporciona Normalized, Security Hub rellena automáticamente el valor del otro campo. El campo Product de FindingProviderFields se retira y no se rellena en los resultados actuales. En su lugar, use el campo Original.
La gravedad del hallazgo no tiene en cuenta la importancia crítica de los activos involucrados o del recurso subyacente. El nivel de importancia crítica se define como el nivel de importancia de los recursos que están asociados con el hallazgo. Por ejemplo, un recurso que está asociado a una aplicación de misión crítica tiene mayor importancia crítica frente a uno asociado a pruebas que no son de producción. Para capturar información sobre la importancia crítica de los recursos, utilice el campo Criticality.
Recomendamos utilizar la siguiente guía al traducir las puntuaciones de gravedad nativas de los resultados al valor Severity.Label en ASFF.
-
INFORMATIONAL: Esta categoría puede incluir el resultado dePASSED,WARNING,NOT AVAILABLEo una identificación de datos confidenciales. -
LOW: Resultados que podrían resultar en futuros compromisos. Por ejemplo, esta categoría puede incluir vulnerabilidades, puntos débiles de configuración y contraseñas expuestas. -
MEDIUM– Resultados que están asociados con problemas que indican una situación de peligro activa, pero ninguna indicación de que un adversario haya completado sus objetivos. Por ejemplo, esta categoría puede incluir actividad de malware, actividad de piratería y detección de comportamientos inusual. -
HIGHoCRITICAL– Resultados que indican que un adversario ha completado sus objetivos, como, por ejemplo, pérdida de datos activa, situación en peligro o denegación de servicios.
Ejemplo
"Severity": { "Label": "CRITICAL", "Normalized": 90, "Original": "CRITICAL" }
Título
El título de un hallazgo. Este campo puede contener texto reutilizable no específico o información específica de esta instancia del hallazgo.
En el caso de los resultados de control, este campo proporciona el título del control.
Este campo no hace referencia a un estándar si activa los resultados de control consolidados.
Ejemplo
"Title": "AWS Config should be enabled"
Tipos
Uno o varios tipos de hallazgos en el formato de namespace/category/classifier
Types solo debe actualizarse mediante BatchUpdateFindings.
Los proveedores de resultados que deseen proporcionar un valor para Types deben utilizar el atributo Types en FindingProviderFields.
En la siguiente lista, las viñetas de nivel superior son espacios de nombres, las viñetas de segundo nivel son categorías y las viñetas de tercer nivel son clasificadores. Recomendamos que los proveedores de resultado utilicen espacios de nombres definidos para ayudar a ordenar y agrupar los resultados. Se recomienda el uso de las categorías y clasificadores definidos, pero no son obligatorios. Sólo el espacio de nombres Comprobaciones de software y configuración tiene clasificadores definidos.
Un proveedor de resultado podría definir una ruta parcial para el espacio de nombres, categoría, clasificador. Por ejemplo, los siguientes tipos de hallazgo son válidos:
-
TTP
-
TTPs/evasión de defensa
-
TTPS/Defense Evasion/ CloudTrailStopped
Las categorías de tácticas, técnicas y procedimientos (TTP) en la siguiente lista se alinean con MITRE ATT&CK MatrixTM
Lista de espacios de nombres, categorías y clasificadores:
-
Comprobaciones de configuración y software
-
Vulnerabilidades
-
CVE
-
-
AWS Mejores prácticas de seguridad/
-
Accesibilidad de red
-
Análisis del comportamiento del tiempo de ejecución
-
-
Estándares del sector y normativos
-
AWS Mejores prácticas de seguridad fundamentales
-
Indicadores de referencia de fortalecimiento de host de CIS
-
Punto de referencia de la AWS Fundación CIS
-
PCI-DSS
-
Controles Cloud Security Alliance
-
Controles ISO 90001
-
Controles ISO 27001
-
Controles ISO 27017
-
Controles ISO 27018
-
SOC 1
-
SOC 2
-
Controles HIPAA (EE. UU.)
-
Controles 800-53 de NIST (EE. UU.)
-
Controles de CSF del NIST (EE. UU.)
-
Controles IRAP (Australia)
-
Controles K-ISMS (Corea)
-
Controles MTCS (Singapur)
-
Controles FISC (Japón)
-
Controles My Number Act (Japón)
-
Controles ENS (España)
-
Controles Cyber Essentials Plus (Reino Unido)
-
Controles G-Cloud (Reino Unido)
-
Controles C5 (Alemania)
-
Controles IT-Grundschutz (Alemania)
-
Controles del RGPD (Europa)
-
Controles TISAX (Europa)
-
-
Administración de parches
-
-
TTP
-
Acceso inicial
-
Execution
-
Persistencia
-
Escalado de privilegios
-
Evasión de defensa
-
Acceso a credenciales
-
Discovery
-
Movimiento lateral
-
Recopilación
-
Comando y control
-
-
Efectos
-
Exposición de datos
-
Filtración de datos
-
Destrucción de datos
-
Ataques de denegación de servicio
-
Consumo de recursos
-
-
Comportamientos inusuales
-
Aplicación
-
Flujo de red
-
Dirección IP
-
Usuario
-
VM
-
Contenedor
-
Sin servidor
-
Proceso
-
Base de datos
-
Datos
-
-
Identificaciones de información confidencial
-
PII
-
Contraseñas
-
Cuestiones legales
-
Datos financieros
-
Seguridad
-
Usuarios
-
Ejemplo
"Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
UpdatedAt
Indica cuándo fue la última vez que el proveedor de resultados actualizó el registro de resultado.
Esta marca de tiempo refleja la hora en que el registro de resultado se actualizó por última vez o por última vez. En consecuencia, puede diferir de la marca de tiempo LastObservedAt, que refleja cuándo se observó por última vez o más recientemente el evento o la vulnerabilidad.
Al actualizar el registro del hallazgo, debe actualizar esta marca temporal con la marca temporal actual. Tras la creación de un registro del resultado, las marcas temporales CreatedAt y UpdatedAt deben actualizarse a la misma marca temporal. Después de una actualización del registro del resultado, el valor de este campo debe ser el más reciente frente a todos los valores anteriores que contenía.
Tenga en cuenta que UpdatedAt no se puede actualizar mediante la operación de la API BatchUpdateFindings. Solo puede actualizarlo utilizando BatchImportFindings.
Ejemplo
"UpdatedAt": "2017-04-22T13:22:13.933Z"
nota
Security Hub borra los resultados al cabo de 90 días desde la última actualización o 90 días después de que se crearan si no hay actualizaciones. Para almacenar los hallazgos durante más de 90 días, puedes configurar una regla en Amazon EventBridge que dirija los hallazgos a tu bucket de S3.
