Habilitación de Security Hub

Puede habilitar Security Hub para cualquier Cuenta de AWS. En esta sección de la documentación se describen todos los pasos necesarios para habilitar Security Hub para una AWS organización o una cuenta independiente.

importante

Cuando habilitas AWS Security Hub, Security Hub utiliza los datos disponibles (incluidos los hallazgos, los datos de configuración, el inventario de software y otros datos de tu AWS entorno) para potenciar las capacidades que activas. A medida que mejoramos las capacidades existentes o añadimos otras nuevas, Security Hub puede utilizar datos adicionales que ya están a su alcance para ofrecer una mejor experiencia, como una evaluación más precisa del impacto real de las exposiciones en su entorno, sin coste adicional. Puede gestionar sus integraciones y capacidades habilitadas en cualquier momento. Consulte la documentación de Security Hub para obtener más información o póngase en contacto con el equipo de su AWS cuenta o con AWS Support si tiene alguna pregunta.

Para ver una breve demostración de cómo habilitar Security Hub, vea el siguiente vídeo:

Habilitar Security Hub para un AWS Organización

Esta sección incluye tres pasos:

• En el paso 1, la cuenta de administración de la AWS organización designa un administrador delegado para su AWS organización, crea la política de administrador delegado y, de forma opcional, habilita Security Hub para su propia cuenta.

• En el paso 2, el administrador delegado de la organización habilita Security Hub para su propia cuenta.

• En el paso 3, el administrador delegado de la organización configura todas las cuentas de los miembros de la organización, para Security Hub y otros servicios de seguridad compatibles.

Paso 1. Delegar una cuenta de administrador y habilitar opcionalmente Security Hub en el AWS cuenta de administración de la organización

nota

Complete este paso en una región de la cuenta de administración de la organización.

Al asignar la cuenta de administrador delegado para Security Hub, la cuenta que puede elegir para su administrador delegado depende de cómo haya configurado un administrador delegado para Security Hub CSPM. Si ha configurado un administrador delegado para Security Hub CSPM y esa cuenta no es la cuenta de administración de la organización, esa cuenta se establece automáticamente como administrador delegado de Security Hub y no se puede elegir una cuenta diferente. Si la cuenta de administrador delegado de Security Hub CSPM está configurada como la cuenta de administración de la organización o no está configurada en absoluto, puede elegir qué cuenta asignar como cuenta de administrador delegado de Security Hub, excepto la cuenta de administración de la organización.

Para obtener información sobre cómo designar un administrador delegado en Security Hub, consulte Cómo designar una cuenta de administrador delegado en Security Hub. Para obtener información sobre cómo crear la política del administrador delegado en Security Hub, consulte Creación de la política del administrador delegado en Security Hub.

Para designar un administrador para Security Hub

1. Inicie sesión en su AWS cuenta con las credenciales de la cuenta de administración de su AWS organización. Abra la consola de Security Hub en https://console.aws.amazon.com/securityhub/v2/home.

2. En la página de inicio de Security Hub, selecciona Security Hub y, a continuación, selecciona Comenzar.

3. En la sección Administrador delegado, elija una cuenta de administrador en función de las opciones proporcionadas. Como práctica recomendada, utilice el mismo administrador delegado en todos los servicios de seguridad para lograr una gobernanza coherente.

4. Seleccione la casilla de verificación Acceso confiable. Si selecciona esta opción, su cuenta de administrador delegado podrá configurar determinadas funciones, como la protección contra GuardDuty malware, en las cuentas de los miembros. Si desmarca esta opción, Security Hub no podrá habilitar estas funciones en su nombre y deberá habilitarlas directamente a través del servicio al que está asociada la función.

5. (Opcional) Para habilitar la cuenta, selecciona la casilla para habilitar Security Hub en tu AWS cuenta.

6. En el caso de la política de administrador delegado, elija una de las siguientes opciones para añadir la declaración de política.

   1. (Opción 1) Seleccione Actualizar esto por mí. Seleccione la casilla situada debajo de la declaración de política para confirmar que Security Hub crea automáticamente una política de delegación que concede todos los permisos necesarios al administrador delegado.

   2. (Opción 2): Elija Quiero asociar esto manualmente. Elija Copiar y asociar. En la AWS Organizations consola, en Administrador delegado para AWS Organizations, elija Delegar y pegue la política de recursos en el editor de políticas de delegación. Seleccione Crear política. Abra la pestaña donde se encuentra en la consola de Security Hub.

7. Elija Configurar.

Paso 2. Habilitación de Security Hub en la cuenta del administrador delegado

La cuenta de administrador delegado completa este paso. Una vez que la cuenta de administración de la AWS organización designa un administrador delegado para su organización, el administrador delegado debe habilitar Security Hub para su propia cuenta antes de habilitarlo para toda la organización. AWS

Para habilitar Security Hub en la cuenta del administrador delegado

1. Inicie sesión en su AWS cuenta con sus credenciales de administrador delegado. Abra la consola de Security Hub en https://console.aws.amazon.com/securityhub/v2/home.

2. En la página de inicio de Security Hub, selecciona Comenzar.

3. La sección de capacidades de seguridad describe las capacidades que se habilitan automáticamente y se incluyen en el precio base por recurso de Security Hub.

4. (Opcional) En Etiquetas, determine si desea agregar un par clave–valor durante la configuración de la cuenta.

5. Elija Enable Security Hub para terminar de habilitar Security Hub.

6. (Recomendado) en la ventana emergente, seleccione Configurar mi organización y continúe con el paso 3.

Paso 3. Creación de una política que habilite Security Hub en todas las cuentas de miembro

Después de habilitar Security Hub en la cuenta de administrador delegado de una organización, debe crear una política que defina qué servicios y capacidades están habilitados en las cuentas de los miembros de la organización. Para obtener más información, consulte Habilitar una configuración con un tipo de política.

Después de habilitar Security Hub, se crean los siguientes recursos en su cuenta:

• Un rol vinculado a un servicio llamado. AWSServiceRoleForSecurityHubV2

• Service-linked grabadores de configuración. Consulte Service-linked Recorder en la documentación de conceptos de Security Hub para obtener más información.

• Un analizador vinculado a un servicio. Consulte el Service-linked analizador en la documentación de conceptos de Security Hub para obtener más información.

Habilitación de Security Hub en una cuenta independiente

Este procedimiento describe cómo habilitar Security Hub en una cuenta independiente. Una cuenta independiente es aquella Cuenta de AWS que no tiene organizaciones habilitadas AWS .

Para habilitar Security Hub en una cuenta independiente

1. Inicie sesión en su AWS cuenta con las credenciales de su cuenta. Abra la consola de Security Hub en https://console.aws.amazon.com/securityhub/v2/home.

2. En la página de inicio de Security Hub, selecciona Comenzar.

3. En la sección Capacidades de seguridad, realice una de las siguientes acciones:

   1. (Opción 1) Seleccione Habilitar todas las capacidades. Esto activa todas las capacidades esenciales del Security Hub, el análisis de amenazas y las capacidades adicionales.

   2. (Opción 2) Elija Personalizar las capacidades. Seleccione las funciones que desee activar en las secciones Gestión de la seguridad, Análisis de amenazas y Gestión de vulnerabilidades. No puede deseleccionar ninguna funcionalidad que forme parte de las funciones esenciales del plan Security Hub.

4. En la sección Regiones, selecciona Habilitar todas las regiones o Habilitar regiones específicas. Si selecciona Habilitar todas las regiones, puede decidir si desea habilitar automáticamente las nuevas regiones. Si eliges Activar regiones específicas, debes elegir qué regiones quieres activar.

5. (Opcional) En el caso de las etiquetas de recursos, añada etiquetas como pares clave-valor para identificar fácilmente la configuración.

6. Seleccione Habilitar Security Hub.

Después de habilitar Security Hub, se crean los siguientes recursos en cada cuenta en la que habilitó el servicio:

• Un rol vinculado a un servicio llamado. AWSServiceRoleForSecurityHubV2

• Service-linked grabadores de configuración. Consulte Service-linked Recorder en la documentación de conceptos de Security Hub para obtener más información.

• Un analizador vinculado a un servicio. Consulte el Service-linked analizador en la documentación de conceptos de Security Hub para obtener más información.