Intégration bidirectionnelle d'AWS Security Hub au logiciel Jira

PDF

Créée par Joaquin Manuel Rinaudo (AWS)

Récapitulatif

Cette solution prend en charge une intégration bidirectionnelle entre AWS Security Hub et Jira. Grâce à cette solution, vous pouvez créer et mettre à jour automatiquement et manuellement des tickets JIRA à partir des résultats du Security Hub. Les équipes de sécurité peuvent utiliser cette intégration pour informer les équipes de développement des problèmes de sécurité graves nécessitant une action.

La solution vous permet de :

• Sélectionnez les contrôles Security Hub qui créent ou mettent à jour automatiquement les tickets dans Jira.

• Dans la console Security Hub, utilisez les actions personnalisées de Security Hub pour augmenter manuellement les tickets dans Jira.

• Attribuez automatiquement des tickets dans Jira en fonction des balises de compte AWS définies dans AWS Organizations. Si cette balise n'est pas définie, un destinataire par défaut est utilisé.

• Supprimez automatiquement les résultats du Security Hub marqués comme faussement positifs ou présentant un risque accepté dans Jira.

• Fermez automatiquement un ticket Jira lorsque le résultat correspondant est archivé dans Security Hub.

• Rouvrez les tickets Jira lorsque les résultats de Security Hub se reproduisent.

Flux de travail Jira

La solution utilise un flux de travail Jira personnalisé qui permet aux développeurs de gérer et de documenter les risques. Au fur et à mesure que le problème progresse dans le flux de travail, l'intégration bidirectionnelle garantit que le statut du ticket Jira et la découverte du Security Hub sont synchronisés entre les flux de travail des deux services. Ce flux de travail est un dérivé de SecDevOps Risk Workflow de Dinis Cruz, sous licence CC BY 4.0. Nous vous recommandons d'ajouter une condition de flux de travail Jira afin que seuls les membres de votre équipe de sécurité puissent modifier le statut du ticket.

Pour un exemple de ticket Jira généré automatiquement par cette solution, consultez la section Informations supplémentaires de ce modèle.

Conditions préalables et limitations

Prérequis

• Si vous souhaitez déployer cette solution dans un environnement AWS multi-comptes :

  • Votre environnement multi-comptes est actif et géré par AWS Organizations.

  • Security Hub est activé sur vos comptes AWS.

  • Dans AWS Organizations, vous avez désigné un compte administrateur Security Hub.

  • Vous disposez d'un rôle IAM multi-comptes autorisé à accéder au AWSOrganizationsReadOnlyAccess compte de gestion AWS Organizations.

  • (Facultatif) Vous avez tagué vos comptes AWS avecSecurityContactID. Cette balise est utilisée pour attribuer des tickets Jira aux contacts de sécurité définis.

• Si vous souhaitez déployer cette solution au sein d'un seul compte AWS :

  • Vous disposez d'un compte AWS actif.

  • Security Hub est activé sur votre compte AWS.

• Une instance de Jira Server

  Important

  Cette solution prend en charge l'utilisation de Jira Cloud. Cependant, Jira Cloud ne prend pas en charge l'importation de flux de travail XML. Vous devez donc recréer manuellement le flux de travail dans Jira.

• Autorisations d'administrateur dans Jira

• L'un des jetons Jira suivants :

  • Pour Jira Enterprise, un jeton d'accès personnel (PAT). Pour plus d'informations, consultez la section Utilisation de jetons d'accès personnels (assistance Atlassian).

  • Pour Jira Cloud, un jeton d'API Jira. Pour plus d'informations, consultez Gérer les jetons d'API (support Atlassian).

Architecture

Cette section illustre l'architecture de la solution dans différents scénarios, par exemple lorsque le développeur et l'ingénieur en sécurité décident d'accepter le risque ou de résoudre le problème.

Scénario 1 : le développeur résout le problème

1. Security Hub génère une constatation par rapport à un contrôle de sécurité spécifié, tel que ceux de la norme AWS Foundational Security Best Practices.

2. Un CloudWatch événement Amazon associé à la découverte et à l'CreateJIRAaction déclenche une fonction AWS Lambda.

3. La fonction Lambda utilise son fichier de configuration et le GeneratorId champ du résultat pour déterminer si elle doit augmenter le résultat.

4. La fonction Lambda détermine que le résultat doit être augmenté, elle obtient le tag du compte auprès d'AWS Organizations dans le SecurityContactID compte de gestion AWS. Cet identifiant est associé au développeur et est utilisé comme identifiant de destinataire pour le ticket Jira.

5. La fonction Lambda utilise les informations d'identification stockées dans AWS Secrets Manager pour créer un ticket dans Jira. Jira avertit le développeur.

6. Le développeur répond à la constatation de sécurité sous-jacente et, dans Jira, change le statut du ticket enTEST FIX.

7. Security Hub met à jour le résultat au fur ARCHIVED et à mesure qu'un nouvel événement est généré. Cet événement entraîne la fermeture automatique du ticket Jira par la fonction Lambda.

Scénario 2 : le développeur décide d'accepter le risque

1. Security Hub génère une constatation par rapport à un contrôle de sécurité spécifié, tel que ceux de la norme AWS Foundational Security Best Practices.

2. Un CloudWatch événement associé à la découverte et à l'CreateJIRAaction déclenche une fonction Lambda.

3. La fonction Lambda utilise son fichier de configuration et le GeneratorId champ du résultat pour déterminer si elle doit augmenter le résultat.

4. La fonction Lambda détermine que le résultat doit être augmenté, elle obtient le tag du compte auprès d'AWS Organizations dans le SecurityContactID compte de gestion AWS. Cet identifiant est associé au développeur et est utilisé comme identifiant de destinataire pour le ticket Jira.

5. La fonction Lambda utilise les informations d'identification stockées dans Secrets Manager pour créer un ticket dans Jira. Jira avertit le développeur.

6. Le développeur décide d'accepter le risque et, dans Jira, change le statut du ticket enAWAITING RISK ACCEPTANCE.

7. L'ingénieur en sécurité examine la demande et trouve que la justification commerciale est appropriée. L'ingénieur de sécurité change le statut du ticket Jira enACCEPTED RISK. Cela ferme le ticket Jira.

8. Un événement CloudWatch quotidien lance la fonction d'actualisation Lambda, qui identifie les tickets JIRA fermés et met à jour les résultats correspondants du Security Hub en tant que tels. SUPPRESSED

Outils

• AWS vous CloudFormation aide à configurer les ressources AWS, à les approvisionner rapidement et de manière cohérente, et à les gérer tout au long de leur cycle de vie sur l'ensemble des comptes et des régions AWS.

• Amazon CloudWatch Events vous aide à surveiller les événements du système pour vos ressources AWS en utilisant des règles pour faire correspondre les événements et les acheminer vers des fonctions ou des flux.

• AWS Lambda est un service de calcul qui vous permet d'exécuter du code sans avoir à provisionner ou à gérer des serveurs. Il exécute votre code uniquement lorsque cela est nécessaire et évolue automatiquement, de sorte que vous ne payez que pour le temps de calcul que vous utilisez.

• AWS Organizations est un service de gestion de comptes qui vous aide à consolider plusieurs comptes AWS au sein d'une organisation que vous créez et gérez de manière centralisée.

• AWS Secrets Manager vous aide à remplacer les informations d'identification codées en dur dans votre code, y compris les mots de passe, par un appel d'API à Secrets Manager pour récupérer le secret par programmation.

• AWS Security Hub fournit une vue complète de votre état de sécurité dans AWS. Il vous permet également de vérifier que votre environnement AWS est conforme aux normes du secteur de la sécurité et aux meilleures pratiques.

Référentiel de code

Le code de ce modèle est disponible sur GitHub, dans le référentiel aws-securityhub-jira-software-integration. Il inclut l'exemple de code et le flux de travail Jira pour cette solution.

Épopées

Configurer Jira

Tâche	Description	Compétences requises
Importez le flux de travail.	En tant qu'administrateur de Jira, importez le issue-workflow.xml fichier dans votre instance de serveur Jira. Ce fichier se trouve dans le référentiel aws-securityhub-jira-software-integration dans GitHub. Pour obtenir des instructions, consultez Utiliser le XML pour créer un flux de travail (documentation Jira).	Administrateur Jira
Activez et attribuez le flux de travail.	Les flux de travail sont inactifs tant que vous ne les affectez pas à un schéma de flux de travail. Vous attribuez ensuite le schéma de flux de travail à un projet. Pour votre projet, assurez-vous d'avoir identifié un schéma de type de problème pour le projet. Vous pouvez créer un nouveau type de problème ou en sélectionner un existant, tel queBug. Assignez le flux de travail importé à un schéma de flux de travail conformément aux instructions de la section Activer un flux de travail (documentation Jira). Assignez le schéma de flux de travail à un projet conformément aux instructions de la section Associer un schéma de flux de travail à un projet (documentation Jira).	Administrateur Jira

Configurer Jira

Tâche	Description	Compétences requises
Importez le flux de travail.	En tant qu'administrateur de Jira, importez le issue-workflow.xml fichier dans votre instance de serveur Jira. Ce fichier se trouve dans le référentiel aws-securityhub-jira-software-integration dans GitHub. Pour obtenir des instructions, consultez Utiliser le XML pour créer un flux de travail (documentation Jira).	Administrateur Jira
Activez et attribuez le flux de travail.	Les flux de travail sont inactifs tant que vous ne les affectez pas à un schéma de flux de travail. Vous attribuez ensuite le schéma de flux de travail à un projet. Pour votre projet, assurez-vous d'avoir identifié un schéma de type de problème pour le projet. Vous pouvez créer un nouveau type de problème ou en sélectionner un existant, tel queBug. Assignez le flux de travail importé à un schéma de flux de travail conformément aux instructions de la section Activer un flux de travail (documentation Jira). Assignez le schéma de flux de travail à un projet conformément aux instructions de la section Associer un schéma de flux de travail à un projet (documentation Jira).	Administrateur Jira

Configurer les paramètres de la solution

Tâche	Description	Compétences requises
Configurez les paramètres de la solution.	Dans le dossier conf, ouvrezparams_prod.shfile. Fournissez des valeurs pour les paramètres suivants : ORG_ACCOUNT_ID— L'ID de compte de votre compte de gestion AWS Organizations. La solution lit les balises de compte et attribue des tickets aux contacts de sécurité spécifiques définis dans ces balises de compte AWS. ORG_ROLE— Le nom du rôle IAM utilisé pour accéder au compte de gestion AWS Organization. Ce rôle doit disposer d'OrganizationsReadOnlyAccessautorisations. EXTERNAL_ID— Paramètre facultatif si vous utilisez un ID externe pour assumer le rôle IAM défini dansORG_ROLE. Pour plus d'informations, consultez Comment utiliser un identifiant externe (documentation IAM). JIRA_DEFAULT_ASSIGNEE— Il s'agit de l'identifiant Jira du destinataire par défaut pour tous les problèmes de sécurité. Cette valeur par défaut est utilisée dans le cas où le compte n'est pas correctement étiqueté ou si le rôle ne peut pas être assumé. JIRA_INSTANCE— L'adresse HTTPS de votre serveur Jira au format suivant : team-<team-id>.atlassian.net/ JIRA_PROJECT_KEY— Le nom de la clé de projet Jira utilisée pour créer des tickets, par exemple SEC ouTEST. Ce projet doit déjà exister dans Jira.  ISSUE_TYPE— Le nom du schéma de type de problème attribué au projet dans Jira, tel que Bug ouSecurity Issue. REGIONS— Liste des codes de région AWS dans lesquels vous souhaitez déployer cette solution, tels queeu-west-1. Enregistrez et fermez le fichier de paramètres de solution.	Administrateur système AWS
Identifiez les résultats que vous souhaitez automatiser.	Ouvrez la console Security Hub à l'adresse https://console.aws.amazon.com/securityhub/ Dans le volet de navigation du Security Hub, sélectionnez Findings. Choisissez le titre de la recherche. Choisissez l'ID de recherche. Cela affiche le code JSON complet pour le résultat. Dans le JSON, copiez la chaîne dans le GeneratorId champ. Cette valeur est au format AWS Security Finding (ASFF). Par exemple, aws-foundational-security-best-practices/v/1.0.0/S3.1 correspond aux résultats du contrôle de sécurité S3.1, le paramètre S3 Block Public Access doit être activé. Répétez ces étapes jusqu'à ce que vous ayez copié toutes les GeneratorID valeurs des résultats que vous souhaitez automatiser.
Ajoutez les résultats au fichier de configuration.	Dans src/code, ouvrez le config.jsonconfig fichier. Collez les GeneratorID valeurs que vous avez récupérées dans l'article précédent dans le default paramètre et utilisez des virgules pour séparer chaque identifiant. Enregistrez et fermez le fichier de configuration . L'exemple de code suivant montre l'automatisation des aws-foundational-security-best-practices/v/1.0.0/S3.1 résultats aws-foundational-security-best-practices/v/1.0.0/SNS.1 et. {     "Controls" : {         "eu-west-1": [          "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0/rule/1.22"       ],         "default": [ aws-foundational-security-best-practices/v/1.0.0/SNS.1, aws-foundational-security-best-practices/v/1.0.0/S3.1      ]     }   } Note Vous pouvez choisir d'automatiser différents résultats pour chaque région AWS. Une bonne pratique pour éviter la duplication des résultats consiste à sélectionner une seule région pour automatiser la création de contrôles liés à l'IAM.	Administrateur système AWS

Configurer les paramètres de la solution

Tâche	Description	Compétences requises
Configurez les paramètres de la solution.	Dans le dossier conf, ouvrezparams_prod.shfile. Fournissez des valeurs pour les paramètres suivants : ORG_ACCOUNT_ID— L'ID de compte de votre compte de gestion AWS Organizations. La solution lit les balises de compte et attribue des tickets aux contacts de sécurité spécifiques définis dans ces balises de compte AWS. ORG_ROLE— Le nom du rôle IAM utilisé pour accéder au compte de gestion AWS Organization. Ce rôle doit disposer d'OrganizationsReadOnlyAccessautorisations. EXTERNAL_ID— Paramètre facultatif si vous utilisez un ID externe pour assumer le rôle IAM défini dansORG_ROLE. Pour plus d'informations, consultez Comment utiliser un identifiant externe (documentation IAM). JIRA_DEFAULT_ASSIGNEE— Il s'agit de l'identifiant Jira du destinataire par défaut pour tous les problèmes de sécurité. Cette valeur par défaut est utilisée dans le cas où le compte n'est pas correctement étiqueté ou si le rôle ne peut pas être assumé. JIRA_INSTANCE— L'adresse HTTPS de votre serveur Jira au format suivant : team-<team-id>.atlassian.net/ JIRA_PROJECT_KEY— Le nom de la clé de projet Jira utilisée pour créer des tickets, par exemple SEC ouTEST. Ce projet doit déjà exister dans Jira.  ISSUE_TYPE— Le nom du schéma de type de problème attribué au projet dans Jira, tel que Bug ouSecurity Issue. REGIONS— Liste des codes de région AWS dans lesquels vous souhaitez déployer cette solution, tels queeu-west-1. Enregistrez et fermez le fichier de paramètres de solution.	Administrateur système AWS
Identifiez les résultats que vous souhaitez automatiser.	Ouvrez la console Security Hub à l'adresse https://console.aws.amazon.com/securityhub/ Dans le volet de navigation du Security Hub, sélectionnez Findings. Choisissez le titre de la recherche. Choisissez l'ID de recherche. Cela affiche le code JSON complet pour le résultat. Dans le JSON, copiez la chaîne dans le GeneratorId champ. Cette valeur est au format AWS Security Finding (ASFF). Par exemple, aws-foundational-security-best-practices/v/1.0.0/S3.1 correspond aux résultats du contrôle de sécurité S3.1, le paramètre S3 Block Public Access doit être activé. Répétez ces étapes jusqu'à ce que vous ayez copié toutes les GeneratorID valeurs des résultats que vous souhaitez automatiser.
Ajoutez les résultats au fichier de configuration.	Dans src/code, ouvrez le config.jsonconfig fichier. Collez les GeneratorID valeurs que vous avez récupérées dans l'article précédent dans le default paramètre et utilisez des virgules pour séparer chaque identifiant. Enregistrez et fermez le fichier de configuration . L'exemple de code suivant montre l'automatisation des aws-foundational-security-best-practices/v/1.0.0/S3.1 résultats aws-foundational-security-best-practices/v/1.0.0/SNS.1 et. {     "Controls" : {         "eu-west-1": [          "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0/rule/1.22"       ],         "default": [ aws-foundational-security-best-practices/v/1.0.0/SNS.1, aws-foundational-security-best-practices/v/1.0.0/S3.1      ]     }   } Note Vous pouvez choisir d'automatiser différents résultats pour chaque région AWS. Une bonne pratique pour éviter la duplication des résultats consiste à sélectionner une seule région pour automatiser la création de contrôles liés à l'IAM.	Administrateur système AWS

Déployez l'intégration

Tâche	Description	Compétences requises
Déployez l'intégration.	Dans un terminal de ligne de commande, entrez la commande suivante : ./deploy.sh prod	Administrateur système AWS
Téléchargez les informations d'identification Jira dans AWS Secrets Manager.	Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/. Sous Secrets, choisissez Enregistrer un nouveau secret. Pour Secret type (Type de secret), choisissez Other type of secret (Autre type de secret). Si vous utilisez Jira Enterprise, pour les paires clé/valeur, procédez comme suit : Dans la première ligne, entrez auth dans la zone clé, puis entrez token_auth dans la zone valeur. Ajoutez une deuxième ligne, entrez token dans la zone clé, puis entrez votre jeton d'accès personnel dans la zone de valeur. Si vous utilisez Jira Cloud, pour les paires clé/valeur, procédez comme suit : Dans la première ligne, entrez auth dans la zone clé, puis entrez basic_auth dans la zone valeur. Ajoutez une deuxième ligne, entrez token dans la zone clé, puis entrez votre jeton d'API dans la zone valeur. Ajoutez une troisième ligne, entrez email dans la zone clé, puis entrez votre adresse e-mail dans la zone de valeur. Choisissez Suivant. Dans le champ Nom du secretJira-Token, entrez, puis au bas de la page, choisissez Next. Sur la page Rotation secrète, maintenez Désactiver la rotation automatique, puis en bas de la page, choisissez Suivant. Sur la page Révision, passez en revue les informations secrètes, puis choisissez Store.	Administrateur système AWS
Créez l'action personnalisée Security Hub.	Pour chaque région AWS, dans l'interface de ligne de commande AWS (AWS CLI), utilisez create-action-targetla commande pour créer une action CreateJiraIssue personnalisée Security Hub nommée. aws securityhub create-action-target --name "CreateJiraIssue" \  --description "Create ticket in JIRA" \  --id "CreateJiraIssue" --region $<aws-region> Ouvrez la console Security Hub à l'adresse https://console.aws.amazon.com/securityhub/. Dans le volet de navigation du Security Hub, sélectionnez Findings. Dans la liste des résultats, sélectionnez les résultats que vous souhaitez augmenter. Dans le menu Actions, choisissezCreateJiraIssue.	Administrateur système AWS

Déployez l'intégration

Tâche	Description	Compétences requises
Déployez l'intégration.	Dans un terminal de ligne de commande, entrez la commande suivante : ./deploy.sh prod	Administrateur système AWS
Téléchargez les informations d'identification Jira dans AWS Secrets Manager.	Ouvrez la console Secrets Manager à l'adresse https://console.aws.amazon.com/secretsmanager/. Sous Secrets, choisissez Enregistrer un nouveau secret. Pour Secret type (Type de secret), choisissez Other type of secret (Autre type de secret). Si vous utilisez Jira Enterprise, pour les paires clé/valeur, procédez comme suit : Dans la première ligne, entrez auth dans la zone clé, puis entrez token_auth dans la zone valeur. Ajoutez une deuxième ligne, entrez token dans la zone clé, puis entrez votre jeton d'accès personnel dans la zone de valeur. Si vous utilisez Jira Cloud, pour les paires clé/valeur, procédez comme suit : Dans la première ligne, entrez auth dans la zone clé, puis entrez basic_auth dans la zone valeur. Ajoutez une deuxième ligne, entrez token dans la zone clé, puis entrez votre jeton d'API dans la zone valeur. Ajoutez une troisième ligne, entrez email dans la zone clé, puis entrez votre adresse e-mail dans la zone de valeur. Choisissez Suivant. Dans le champ Nom du secretJira-Token, entrez, puis au bas de la page, choisissez Next. Sur la page Rotation secrète, maintenez Désactiver la rotation automatique, puis en bas de la page, choisissez Suivant. Sur la page Révision, passez en revue les informations secrètes, puis choisissez Store.	Administrateur système AWS
Créez l'action personnalisée Security Hub.	Pour chaque région AWS, dans l'interface de ligne de commande AWS (AWS CLI), utilisez create-action-targetla commande pour créer une action CreateJiraIssue personnalisée Security Hub nommée. aws securityhub create-action-target --name "CreateJiraIssue" \  --description "Create ticket in JIRA" \  --id "CreateJiraIssue" --region $<aws-region> Ouvrez la console Security Hub à l'adresse https://console.aws.amazon.com/securityhub/. Dans le volet de navigation du Security Hub, sélectionnez Findings. Dans la liste des résultats, sélectionnez les résultats que vous souhaitez augmenter. Dans le menu Actions, choisissezCreateJiraIssue.	Administrateur système AWS

Ressources connexes

• Connecteur de gestion des services AWS pour Jira Service Management

• Norme relative aux meilleures pratiques de sécurité de base d'AWS

Informations supplémentaires

Exemple de ticket Jira

Lorsqu'une découverte spécifique du Security Hub se produit, cette solution crée automatiquement un ticket Jira. Le billet contient les informations suivantes :

• Titre — Le titre identifie le problème de sécurité dans le format suivant :

  AWS Security Issue :: <AWS account ID> :: <Security Hub finding title>

• Description — La section de description du ticket décrit le contrôle de sécurité associé à la découverte, inclut un lien vers la découverte dans la console Security Hub et fournit une brève description de la manière de gérer le problème de sécurité dans le flux de travail Jira.

Voici un exemple de ticket Jira généré automatiquement.

Titre

Problème de sécurité AWS : 012345678912 : : Lambda.1 Les politiques relatives aux fonctions Lambda doivent interdire l'accès public.

Description

Quel est le problème ? Nous avons détecté une faille de sécurité dans le compte AWS 012345678912 dont vous êtes responsable. Ce contrôle vérifie si la politique de fonction AWS Lambda attachée à la ressource Lambda interdit l'accès public. Si la politique de la fonction Lambda autorise l'accès public, le contrôle échoue. <Link to Security Hub finding> Que dois-je faire avec le billet ? Accédez au compte et vérifiez la configuration. Confirmez avoir travaillé sur le ticket en le déplaçant vers « Alloué pour correction ». Une fois résolu, déplacé vers le correctif de test afin que le service de sécurité valide le problème soit résolu. Si vous pensez que le risque doit être accepté, déplacez-le vers « En attente d'acceptation du risque ». Cela nécessitera un examen par un ingénieur en sécurité. Si vous pensez qu'il s'agit d'un faux positif, remplacez-le par « Marquer comme faux positif ». Cela sera examiné par un ingénieur en sécurité et rouvrir/fermé en conséquence.