Contrôles suggérés à désactiver dans Security Hub - AWS Security Hub
Contrôles utilisant des ressources globalesCloudTrail contrôles de journalisationCloudWatch commandes d'alarmes

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôles suggérés à désactiver dans Security Hub

Nous vous recommandons de désactiver certaines AWS Security Hub commandes afin de réduire le bruit de détection et de limiter les coûts.

Contrôles utilisant des ressources globales

Certains Services AWS prennent en charge les ressources globales, ce qui signifie que vous pouvez accéder à la ressource depuis n'importe quel endroit Région AWS. Pour économiser sur le coût AWS Config, vous pouvez désactiver l'enregistrement des ressources mondiales dans toutes les régions sauf une. Une fois cette opération effectuée, Security Hub continue à effectuer des contrôles de sécurité dans toutes les régions où un contrôle est activé et vous facture en fonction du nombre de contrôles par compte et par région. Par conséquent, pour réduire le bruit lié à la recherche et économiser sur le coût de Security Hub, vous devez également désactiver les contrôles impliquant des ressources mondiales dans toutes les régions, à l'exception de la région qui enregistre les ressources mondiales.

Si un contrôle implique des ressources globales mais n'est disponible que dans une seule région, sa désactivation dans cette région vous empêche d'obtenir des résultats pour la ressource sous-jacente. Dans ce cas, nous vous recommandons de garder le contrôle activé. Lorsque vous utilisez l'agrégation entre régions, la région dans laquelle le contrôle est disponible doit être la région d'agrégation ou l'une des régions liées. Les contrôles suivants concernent des ressources mondiales mais ne sont disponibles que dans une seule région :

  • Toutes les CloudFront commandes — Disponible uniquement dans l'est des États-Unis (Virginie du Nord)

  • GlobalAccelerator.1 — Disponible uniquement dans l'ouest des États-Unis (Oregon)

  • Route 53.2 — Disponible uniquement dans l'est des États-Unis (Virginie du Nord)

  • WAF.1, WAF.6, WAF.7 et WAF.8 — Disponible uniquement dans l'est des États-Unis (Virginie du Nord)

Note

Si vous utilisez la configuration centralisée, Security Hub désactive automatiquement les contrôles impliquant des ressources globales dans toutes les régions, à l'exception de la région d'origine. Les autres contrôles que vous choisissez d'activer par le biais d'une politique de configuration sont activés dans toutes les régions où ils sont disponibles. Pour limiter les résultats de ces contrôles à une seule région, vous pouvez mettre à jour les paramètres de votre AWS Config enregistreur et désactiver l'enregistrement des ressources globales dans toutes les régions, à l'exception de la région d'origine.

Si un contrôle activé impliquant des ressources globales n'est pas pris en charge dans la région d'origine, Security Hub essaie d'activer le contrôle dans une région liée où le contrôle est pris en charge. Avec la configuration centralisée, vous ne pouvez pas couvrir un contrôle qui n'est pas disponible dans la région d'origine ou dans l'une des régions associées.

Pour plus d'informations sur la configuration centrale, consultezComprendre la configuration centrale dans Security Hub.

Pour les contrôles dotés d'un type de calendrier périodique, il est nécessaire de les désactiver dans Security Hub pour empêcher la facturation. La définition du AWS Config paramètre includeGlobalResourceTypes sur false n'a aucune incidence sur les contrôles périodiques du Security Hub.

Voici une liste des contrôles Security Hub qui utilisent des ressources globales :

CloudTrail contrôles de journalisation

Ce contrôle concerne l'utilisation de AWS Key Management Service (AWS KMS) pour chiffrer les journaux de AWS CloudTrail suivi. Si vous enregistrez ces traces dans un compte de journalisation centralisé, il vous suffit d'activer ce contrôle dans le compte et dans la région où la journalisation centralisée a lieu.

Note

Si vous utilisez la configuration centralisée, le statut d'activation d'un contrôle est aligné sur la région d'origine et sur les régions associées. Vous ne pouvez pas désactiver un contrôle dans certaines régions et l'activer dans d'autres. Dans ce cas, supprimez les résultats des commandes suivantes afin de réduire le bruit de recherche.

CloudWatch commandes d'alarmes

Si vous préférez utiliser Amazon GuardDuty pour la détection des anomalies plutôt que les CloudWatch alarmes Amazon, vous pouvez désactiver ces contrôles, qui se concentrent sur les CloudWatch alarmes.