Contrôles du Security Hub que vous souhaiterez peut-être désactiver - AWS Security Hub
Contrôles relatifs aux ressources mondialesContrôles relatifs à la CloudTrail journalisationContrôles qui gèrent les CloudWatch alarmes

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Contrôles du Security Hub que vous souhaiterez peut-être désactiver

Nous vous recommandons de désactiver certaines AWS Security Hub commandes afin de réduire le bruit de détection et de limiter les coûts.

Contrôles relatifs aux ressources mondiales

Certains Services AWS prennent en charge les ressources globales, ce qui signifie que vous pouvez accéder à la ressource depuis n'importe quel endroit Région AWS. Pour économiser sur le coût AWS Config, vous pouvez désactiver l'enregistrement des ressources mondiales dans toutes les régions sauf une. Une fois cette opération effectuée, Security Hub continue à effectuer des contrôles de sécurité dans toutes les régions où un contrôle est activé et vous facture en fonction du nombre de contrôles par compte et par région. Par conséquent, pour réduire le bruit lié à la recherche et économiser sur le coût de Security Hub, vous devez également désactiver les contrôles impliquant des ressources mondiales dans toutes les régions, à l'exception de la région qui enregistre les ressources mondiales.

Note

Si vous utilisez la configuration centralisée, Security Hub désactive automatiquement les contrôles impliquant des ressources globales dans toutes les régions, à l'exception de la région d'origine. Les autres commandes sont activées dans toutes les régions où elles sont disponibles. Pour limiter les résultats de ces contrôles à une seule région, vous pouvez mettre à jour les paramètres de votre AWS Config enregistreur et désactiver l'enregistrement des ressources globales dans toutes les régions, à l'exception de la région d'origine. Pour plus d'informations sur la configuration centrale, consultezConfiguration centralisée dans Security Hub.

Pour les contrôles dotés d'un type de calendrier périodique, il est nécessaire de les désactiver dans Security Hub pour empêcher la facturation. La définition du AWS Config paramètre includeGlobalResourceTypes sur false n'a aucune incidence sur les contrôles périodiques du Security Hub.

Si vous désactivez l'enregistrement des ressources globales dans une ou plusieurs régions, le contrôle [Config.1] AWS Config doit être activé pour générer un échec de recherche dans ces régions. Cela est dû au fait que Config.1 nécessite l'enregistrement des ressources globales pour réussir. Vous pouvez supprimer les résultats de ce contrôle manuellement ou par le biais d'une règle d'automatisation.

Voici une liste des contrôles Security Hub qui impliquent des ressources globales :

Contrôles relatifs à la CloudTrail journalisation

Ce contrôle concerne l'utilisation de AWS Key Management Service (AWS KMS) pour chiffrer les journaux de AWS CloudTrail suivi. Si vous enregistrez ces traces dans un compte de journalisation centralisé, il vous suffit d'activer ce contrôle dans le compte et dans la région où la journalisation centralisée a lieu.

Note

Si vous utilisez la configuration centralisée, le statut d'activation d'un contrôle est aligné sur la région d'origine et sur les régions associées. Vous ne pouvez pas désactiver un contrôle dans certaines régions et l'activer dans d'autres. Dans ce cas, supprimez les résultats des commandes suivantes afin de réduire le bruit de recherche.

Contrôles qui gèrent les CloudWatch alarmes

Si vous préférez utiliser Amazon GuardDuty pour la détection des anomalies plutôt que les CloudWatch alarmes Amazon, vous pouvez désactiver ces contrôles, qui se concentrent sur les CloudWatch alarmes.