Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.
Generación y actualización de los resultados de control
AWS Security Hub genera resultados comparándolos con los controles de seguridad. Estos hallazgos utilizan el formato AWS de búsqueda de seguridad (ASFF). Tenga en cuenta que si el tamaño del resultado supera el máximo de 240 KB, se eliminará el objeto Resource.Details. En el caso de los controles respaldados por AWS Config
recursos, puede ver los detalles de los recursos en la AWS Config consola.
Security Hub normalmente cobra por cada control de seguridad de un control. Sin embargo, si varios controles utilizan la misma AWS Config regla, Security Hub solo cobrará una vez por cada comprobación según la AWS Config regla. Si activa los resultados de control consolidadas, Security Hub genera una única conclusión para un control de seguridad, incluso cuando el control está incluido en varios estándares habilitados.
Por ejemplo, varios controles utilizan la AWS Config regla iam-password-policy en el estándar de referencia fundamental del Center for Internet Security (CIS) AWS y en el estándar Foundational Security Best Practices. Cada vez que Security Hub comprueba el cumplimiento de esa AWS Config regla, genera una comprobación independiente para cada control relacionado, pero solo cobra una vez por la comprobación.
Resultados de control consolidados
Cuando los resultados de control consolidados están activados en su cuenta, Security Hub genera un único resultado nuevo o una actualización de resultados para cada control de seguridad de un control, incluso si un control se aplica a varios estándares habilitados. Para ver una lista de los controles y los estándares a los que se aplican, consulte Referencia de controles de Security Hub. Puede activar o desactivar los resultados de control consolidadas. Recomendamos activarlo para reducir el ruido de resultados.
Si activó Security Hub Cuenta de AWS antes del 23 de febrero de 2023, debe activar las conclusiones de control consolidadas siguiendo las instrucciones que aparecen más adelante en esta sección. Si habilita Security Hub el 23 de febrero de 2023 o después, los resultados de control consolidados se activarán automáticamente en tu cuenta. Sin embargo, si utiliza la integración de Security Hub con AWS Organizations o ha invitado a cuentas de miembros mediante un proceso de invitación manual, los resultados de control consolidados solo se activan en las cuentas de los miembros si están activados en la cuenta de administrador. Si la característica está desactivada en la cuenta de administrador, se desactivará en las cuentas de los miembros. Este comportamiento se aplica a las cuentas de miembros nuevas y existentes.
Si desactiva los resultados de control consolidadas en tu cuenta, Security Hub genera una conclusión independiente por cada control de seguridad para cada estándar habilitado que incluya un control. Por ejemplo, si cuatro estándares habilitados comparten un control con la misma AWS Config regla subyacente, recibirá cuatro conclusiones distintas tras una comprobación de seguridad del control. Si activa los resultados del control consolidado, recibirá solo una conclusión. Para obtener más información acerca de cómo afecta la consolidación a los resultados, consulte Ejemplos de resultados de control.
Al activar los resultados de control consolidados, Security Hub crea nuevos resultados independientes de los estándares y archiva los resultados originales basados en estándares. Algunos campos y valores de resultado de controles cambiarán y pueden afectar a los flujos de trabajo existentes. Para obtener más información sobre estos cambios, consulte Resultados de control consolidados: cambios en ASFF.
La activación de los resultados de control consolidados también puede afectar a los resultados que las integraciones de terceros reciben de Security Hub. La respuesta de seguridad automatizada de la AWS versión 2.0.0
Activación de los resultados de control consolidados
Para activar los resultados de control consolidados, debe iniciar sesión en una cuenta de administrador o en una cuenta independiente.
nota
Tras activar los resultados de control consolidadas, Security Hub puede tardar hasta 24 horas en generar nuevas conclusiones consolidadas y archivar los resultados originales basadas en estándares. Durante ese tiempo, es posible que vea en su cuenta una combinación de resultados independientes de los estándares y basados en estándares.
Desactivación de los resultados de control consolidados
Para desactivar los resultados de control consolidadas, debe iniciar sesión en una cuenta de administrador o en una cuenta independiente.
nota
Tras desactivar los resultados de control consolidadas, Security Hub puede tardar hasta 24 horas en generar nuevas conclusiones basadas en estándares y archivarlas. Durante ese tiempo, es posible que vea una combinación de resultados consolidados y basados en estándares en su cuenta.
Detalles de Compliance de los resultados de los controles
En el caso de las conclusiones generadas por las comprobaciones de seguridad de los controles, el Compliancecampo del formato de comprobación de AWS seguridad (ASFF) contiene detalles relacionados con las comprobaciones de control. El campo Compliance incluye la siguiente información.
AssociatedStandards-
Los estándares habilitados en los que está habilitado un control.
RelatedRequirements-
La lista de requisitos relacionados con el control en todos los estándares habilitados. Los requisitos provienen del marco de seguridad de terceros para el control, como el estándar de seguridad de datos del sector de pagos con tarjeta (PCI DSS).
SecurityControlId-
El identificador de un control que cumple con los estándares de seguridad que admite Security Hub.
Status-
El resultado de la última comprobación realizada por Security Hub para un control determinado. Los resultados de las comprobaciones anteriores se conservan en estado archivado durante 90 días.
StatusReasons-
Contiene una lista de motivos para el valor
Compliance.Status. Para cada motivo,StatusReasonsincluye el código de motivo y una descripción.
En la siguiente tabla se enumeran los códigos de motivo de estado y las descripciones disponibles. Los pasos de corrección dependen del control que haya generado un resultado con el código de motivo. Elija uno de los controles de Referencia de controles de Security Hub para ver los pasos de corrección de ese control.
|
Código de motivo |
Compliance.Status |
Descripción |
|---|---|---|
|
|
|
El registro CloudTrail multirregional no tiene un filtro métrico válido. |
|
|
|
Los filtros métricos no están presentes en el sendero multirregional. CloudTrail |
|
|
|
La cuenta no tiene un registro multirregional CloudTrail con la configuración requerida. |
|
|
|
Los CloudTrail senderos multirregionales no se encuentran en la región actual. |
|
|
|
No hay acciones de alarma válidas presentes. |
|
|
|
CloudWatch las alarmas no existen en la cuenta. |
|
|
AWS Config el estado es |
AWS Config acceso denegado. Compruebe que AWS Config está activado y que se le han concedido los permisos suficientes. |
|
|
|
AWS Config evaluó sus recursos en función de la regla. La regla no se aplicaba a los AWS recursos incluidos en su ámbito, se eliminaron los recursos especificados o se eliminaron los resultados de la evaluación. |
|
|
|
El estado de conformidad se AWS Config no indica el motivo del estado. Estas son algunas de las posibles razones del estado de No aplicable:
|
|
|
AWS Config el estado es |
Este código de motivo se utiliza para varios tipos diferentes de errores de evaluación. La descripción proporciona la información específica del motivo. El tipo de error puede ser uno de los siguientes:
|
|
|
AWS Config el estado es |
La AWS Config regla está en proceso de creación. |
|
|
|
Se ha producido un error desconocido. |
|
|
ERROR |
Security Hub no puede realizar una comprobación con un tiempo de ejecución de Lambda personalizado. |
|
|
|
El resultado se encuentra en un estado de Esta regla no admite comprobaciones entre regiones ni entre cuentas. Se recomienda deshabilitar este control en esta región o cuenta. Ejecútelo solo en la región o cuenta donde se encuentra el recurso. |
|
|
|
Los filtros de métricas de CloudWatch Logs no tienen una suscripción a Amazon SNS válida. |
|
|
WARNING |
El resultado se encuentra en un estado de El tema de SNS asociado a esta regla es propiedad de otra cuenta. La cuenta actual no puede obtener la información de la suscripción. La cuenta propietaria del tema de SNS debe conceder a la cuenta actual el permiso |
|
|
|
El resultado se encuentra en un estado de Esta regla no admite comprobaciones entre regiones ni entre cuentas. Se recomienda deshabilitar este control en esta región o cuenta. Ejecútelo solo en la región o cuenta donde se encuentra el recurso. |
|
|
|
El tema de SNS asociado a esta regla no es válido. |
|
|
|
La operación de la API relevante superó la tasa permitida. |
Detalles de ProductFields de los resultados de los controles
Cuando Security Hub ejecuta controles de seguridad y genera resultados de control, el atributo ProductFields de ASFF incluye los siguientes campos:
ArchivalReasons:0/Description-
Describe por qué Security Hub ha archivado los resultados existentes.
Por ejemplo, Security Hub archiva los resultados existentes al deshabilitar un control o estándar y al activar o desactivar los resultados del control consolidado.
ArchivalReasons:0/ReasonCode-
Explica el motivo por el que Security Hub ha archivado los resultados existentes.
Por ejemplo, Security Hub archiva los resultados existentes al deshabilitar un control o estándar y al activar o desactivar los resultados del control consolidado.
StandardsGuideArnoStandardsArn-
El ARN del estándar asociado con el control.
Para el estándar CIS AWS Foundations Benchmark, el campo es
StandardsGuideArn.Para los estándares PCI DSS y AWS Foundational Security Best Practices, el campo es.
StandardsArnEstos campos se eliminan en favor de
Compliance.AssociatedStandardssi se activan los resultados de control consolidados. StandardsGuideSubscriptionArnoStandardsSubscriptionArn-
El ARN de la suscripción de la cuenta al estándar.
Para el estándar de referencia de CIS AWS Foundations, el campo es.
StandardsGuideSubscriptionArnPara los estándares PCI DSS y AWS Foundational Security Best Practices, el campo es.
StandardsSubscriptionArnEstos campos se eliminan si activas los resultados de control consolidados.
RuleIdoControlId-
El identificador del control.
Para el estándar de referencia de CIS AWS Foundations, el campo es.
RuleIdPara otros estándares, el campo es
ControlId.Estos campos se eliminan en favor de
Compliance.SecurityControlIdsi se activan los resultados de control consolidados. RecommendationUrl-
La dirección URL de la información de corrección del control. Este campo se elimina a favor de
Remediation.Recommendation.Urlsi se activan los resultados de control consolidados. RelatedAWSResources:0/name-
El nombre del recurso asociado a el resultado.
RelatedAWSResource:0/type-
El tipo de recurso asociado con el control.
StandardsControlArn-
El ARN del control. Este campo se elimina si se activan los resultados de control consolidados.
aws/securityhub/ProductName-
Para los resultados basados en el control, el nombre del producto es Security Hub.
aws/securityhub/CompanyName-
Para los resultados basados en el control, el nombre de la empresa es AWS.
aws/securityhub/annotation-
Una descripción del problema descubierto por el control.
aws/securityhub/FindingId-
El identificador del resultado. Este campo no hace referencia a un estándar si activa los resultados de control consolidados.
Asignación de la gravedad a los resultados de los controles
La gravedad asignada a un control de Security Hub identifica la importancia del control. La gravedad de un control determina la etiqueta de gravedad asignada a los resultados del control.
Criterios de gravedad
La gravedad de un control se determina en función de la evaluación de los siguientes criterios:
-
¿Cómo de difícil es para un agente de amenazas aprovechar la debilidad de la configuración asociada al control?
La dificultad viene determinada por el grado de sofisticación o complejidad que se requiere para utilizar la debilidad para llevar a cabo un escenario de amenaza.
-
¿Qué probabilidades hay de que la debilidad comprometa sus recursos Cuentas de AWS o sus recursos?
Si sus recursos se Cuentas de AWS ven comprometidos, la confidencialidad, la integridad o la disponibilidad de sus datos o AWS infraestructura se ven afectadas de alguna manera.
La probabilidad de que se ponga en peligro indica la probabilidad de que el escenario de amenaza provoque una interrupción o una violación de sus AWS servicios o recursos.
Como ejemplo, fíjese en las siguientes debilidades de configuración:
-
Las claves de acceso de los usuarios no se renuevan cada 90 días.
-
Existe la clave de usuario raíz de IAM.
Ambas debilidades son igualmente difíciles de aprovechar para un adversario. En ambos casos, el adversario puede utilizar el robo de credenciales o algún otro método para adquirir una clave de usuario. Luego pueden usarla para acceder a sus recursos de forma no autorizada.
Sin embargo, la probabilidad de que se ponga en peligro es mucho mayor si el autor de la amenaza adquiere la clave de acceso del usuario raíz, ya que esto le da un mayor acceso. Como resultado, la debilidad clave del usuario raíz es más grave.
La gravedad no tiene en cuenta la criticidad del recurso subyacente. El nivel de importancia crítica se define como el nivel de importancia de los recursos que están asociados con el resultado. Por ejemplo, un recurso que está asociado a una aplicación de misión crítica es más crítica que uno asociado a pruebas que no son de producción. Para recopilar información sobre la criticidad de los recursos, utilice el Criticality campo del formato de búsqueda de AWS seguridad (ASFF).
La siguiente tabla muestra la dificultad de explotación y la probabilidad de que las etiquetas de seguridad se vean comprometidas.
|
Compromiso muy probable |
Compromiso probable |
Compromiso poco probable |
Compromiso muy poco probable |
|
|
Muy fácil de explotar |
Critico |
Critico |
Alta |
Medio |
|
Algo fácil de explotar |
Critico |
Alta |
Medio |
Medio |
|
Algo difícil de explotar |
Alta |
Medio |
Medio |
Baja |
|
Muy difícil de explotar |
Medio |
Medio |
Baja |
Baja |
Definiciones de gravedad
Las etiquetas de gravedad se definen de la siguiente manera.
- Crítico: el problema debe solucionarse de inmediato para evitar una escalada.
-
Por ejemplo, un bucket de S3 abierto se considera un hallazgo de gravedad crítica. Debido a que muchos agentes exploran buckets S3 abiertos, es probable que otros detecten los datos de un bucket de S3 expuesto y accedan a ellos.
En general, los recursos que son de acceso público se consideran problemas de seguridad críticos. Debe tratar los resultados críticos con la máxima urgencia. También debe tener en cuenta la criticidad del recurso.
- Alto: el problema debe abordarse con prioridad a corto plazo.
-
Por ejemplo, si un grupo de seguridad de VPC predeterminado está abierto al tráfico entrante y saliente, se considera de gravedad alta. Es bastante fácil para un actor de amenazas comprometer un VPC mediante este método. También es probable que el actor de la amenaza pueda interrumpir o exfiltrar los recursos una vez que estén en el VPC.
Security Hub recomienda tratar un un resultado de gravedad alta como una prioridad a corto plazo. Debe tomar medidas correctivas de inmediato. También debe tener en cuenta la criticidad del recurso.
- Medio: el tema debe abordarse como una prioridad a medio plazo.
-
Por ejemplo, la falta de cifrado de los datos en tránsito se considera un resultado de gravedad media. Se requiere un man-in-the-middle ataque sofisticado para aprovechar esta debilidad. Es decir, es algo difícil. Es probable que algunos datos se vean comprometidos si el escenario de amenaza tiene éxito.
Security Hub recomienda que investigue el recurso implicado tan pronto como sea posible. También debe tener en cuenta la criticidad del recurso.
- Bajo: el problema no requiere acción por sí solo.
-
Por ejemplo, la falta de recopilación de información forense se considera de gravedad baja. Este control puede ayudar a evitar futuros compromisos, pero la ausencia de análisis forense no conduce directamente a un compromiso.
No es necesario tomar medidas inmediatas ante los resultados de baja gravedad, pero pueden proporcionar un contexto si los correlacionas con otros problemas.
- Informativo: no se encontró ningún punto débil en la configuración.
-
En otras palabras, el estado es
PASSED,WARNINGoNOT AVAILABLE.No se recomienda ninguna acción. Los resultados informativos ayudan a los clientes a demostrar que están en un estado de conformidad.
Reglas para actualizar los resultados de los controles
Una comprobación posterior con respecto a una regla determinada podría generar un nuevo resultado. Por ejemplo, el estado de “Evitar el uso del usuario raíz” podría cambiar de FAILED a PASSED. En ese caso, se genera un nuevo resultado que contiene el resultado más reciente.
Si una comprobación posterior en función de una determinada regla genera un resultado que es idéntico al resultado actual, se actualiza el hallazgo existente. No se genera un nuevo hallazgo.
Security Hub archiva automáticamente los resultados de los controles si el recurso asociado se elimina, el recurso no existe o el control está deshabilitado. Es posible que un recurso ya no exista porque el servicio asociado no se utiliza actualmente. Los resultados se archivan automáticamente en función de uno de los siguientes criterios:
-
El resultado no se actualiza hasta transcurridos entre tres y cinco días (tenga en cuenta que es lo mejor y no está garantizado).
-
Se devolvió AWS Config la evaluación asociada
NOT_APPLICABLE.
