Reglas de automatización en Security Hub

nota

Security Hub se encuentra en versión preliminar y está sujeto a cambios.

Las reglas de automatización de Security Hub son una versión más ampliable y configurable de las reglas de automatización CSPM de Security Hub. Security Hub pasó de ser un sistema de automatización específico para la búsqueda a una plataforma de configuración más amplia. Mientras que el Security Hub CSPM es compatible con ASFF, Security Hub introduce el soporte para OCSF y sienta las bases para más configuraciones. Una de las características clave de las reglas de automatización de Security Hub es su integración con la configuración del agregador. Esto ofrece la posibilidad de ajustar e implementar las configuraciones de forma granular en un conjunto de dispositivos conectados, al Regiones de AWS tiempo que se mantiene la flexibilidad necesaria para configurar una experiencia regional y Regiones de AWS desvincularla una por una.

Los recursos de Security Hub que tengas en tu Cuenta de AWS Región de AWS mano, incluidas las reglas de automatización, los conectores y los agregadores, dejarán de funcionar en los siguientes escenarios.

• La persona independiente Cuenta de AWS pasa a ser miembro de una AWS organización con un administrador delegado

• La cuenta de administración de la AWS organización elimina al administrador delegado de la organización y establece un nuevo administrador delegado

• La configuración del agregador del administrador delegado o autónomo Cuenta de AWS se cambia para convertir una región desvinculada en una región vinculada

En estos escenarios, la cuenta del miembro aún puede administrar estos recursos únicamente mediante las operaciones de lista, obtención y eliminación. AWS CLI Cuando una región desvinculada se convierte en región vinculada, el administrador delegado o la AWS cuenta independiente pueden seguir gestionando los recursos antiguos de una región vinculada mediante las operaciones de lista, obtención y eliminación.

Mejoras clave

Las reglas de automatización de Security Hub CSPM son regionales y solo se aplican a los hallazgos en el Regiones de AWS lugar donde se crearon. Las reglas de automatización de Security Hub se pueden configurar una vez en una Región de AWS (región de agregación) y, a continuación, aplicarse en todas las regiones configuradas Regiones de AWS (regiones vinculadas) mediante la configuración Aggregator V2. Una de las ventajas de esta función es la capacidad de automatizar y corregir los hallazgos de seguridad en varios grupos con Regiones de AWS solo configurar uno. Región de AWS Esto significa que, si se genera un hallazgo en una región vinculada, se puede corregir automáticamente en función de la configuración de la región de agregación.

Integración externa

Las reglas de automatización de Security Hub admiten un tipo de acción para la creación de tickets de ITSM. Esto permite a los clientes dirigir los hallazgos seleccionados del OCSF directamente a una o más integraciones de ITSM configuradas. Si un hallazgo del OCSF coincide con los criterios, puede crear un ticket en o. Jira Cloud ServiceNow ITSM Para obtener más información, consulte Integraciones de terceros para Security Hub.

Criterios compatibles con el OCSF

El CSPM de Security Hub admite la evaluación de los campos ASFF en función de los hallazgos, mientras que Security Hub hace coincidir los campos de OCSF. Por ejemplo, el conjunto de filtros compatibles con el Criteria parámetro utilizado en las reglas de automatización de la versión 2 coincide con el conjunto de filtros compatibles con el Criteria parámetro utilizado en. GetFindingsV2 Esto significa que los filtros utilizados para recuperar los hallazgos de la V2 se pueden usar en una regla de automatización de la V2 que coincida con los hallazgos.

Campos OCSF para AutomationRulesFindingFieldsUpdate

La lista de campos que se pueden actualizar AutomationRulesFindingFieldsUpdateen Security Hub CSPM ha cambiado en Security Hub. Para AutomationRulesFindingFieldsUpdateV2la lista de campos que se pueden actualizar, incluya lo siguiente:

• Comment

• SeverityId

• StatusId