Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Attributi ASFF di primo livello obbligatori
I seguenti attributi di primo livello nel AWS Security Finding Format (ASFF) sono obbligatori per tutti i risultati in Security Hub CSPM. Per ulteriori informazioni su questi attributi, consulta il *AWS Security Hub [AwsSecurityFinding](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_AwsSecurityFinding.html) API Reference. *
## AwsAccountId
L' Account AWS ID a cui si applica il risultato.
**Esempio**
```
"AwsAccountId": "111111111111"
```
## CreatedAt
Indica quando è stato creato il potenziale problema o evento di sicurezza rilevato da un risultato.
**Esempio**
```
"CreatedAt": "2017-03-22T13:22:13.933Z"
```
## Description
La descrizione di una ricerca. Questo campo può essere testo boilerplate non specifico o dettagli che sono specifici dell'istanza del risultato.
Per i risultati di controllo generati da Security Hub CSPM, questo campo fornisce una descrizione del controllo.
Questo campo non fa riferimento a uno standard se si attivano i risultati di controllo [ consolidati. ](controls-findings-create-update.md#consolidated-control-findings)
**Esempio**
```
"Description": "This AWS control checks whether AWS Config is enabled in the current account and Region."
```
## GeneratorId
L'identificatore per il componente specifico della soluzione (un'unità di logica discreta) che ha generato un risultato.
Per i risultati di controllo generati da Security Hub CSPM, questo campo non fa riferimento a uno standard se si attivano i risultati di controllo [ consolidati. ](controls-findings-create-update.md#consolidated-control-findings)
**Esempio**
```
"GeneratorId": "security-control/Config.1"
```
## Id
L'identificatore specifico del prodotto per un risultato. Per i risultati di controllo generati da Security Hub CSPM, questo campo fornisce l'Amazon Resource Name (ARN) del risultato.
Questo campo non fa riferimento a uno standard se attivi i risultati di controllo [ consolidati. ](controls-findings-create-update.md#consolidated-control-findings)
**Esempio**
```
"Id": "arn:aws:securityhub:eu-central-1:123456789012:security-control/iam.9/finding/ab6d6a26-a156-48f0-9403-115983e5a956"
```
## ProductArn
L'Amazon Resource Name (ARN) generato da Security Hub CSPM che identifica in modo univoco un prodotto di rilevazione di terze parti dopo che il prodotto è stato registrato presso Security Hub CSPM.
Il formato di questo campo è `arn:{{partition}}:securityhub:{{region}}:{{account-id}}:product/{{company-id}}/{{product-id}}`.
+ A Servizi AWS tal fine, se integrati con Security Hub CSPM, `company-id` deve essere "`aws`«e deve essere il nome del servizio pubblico. `product-id` AWS Poiché AWS i prodotti e i servizi non sono associati a un account, la `account-id` sezione dell'ARN è vuota. Servizi AWS che non sono ancora integrati con Security Hub CSPM sono considerati prodotti di terze parti.
+ Per prodotti pubblici, `company-id` e `product-id` devono essere i valori ID specificati al momento della registrazione.
+ Per prodotti privati, `company-id` deve essere l'ID account. `product-id` deve essere la parola riservata "default" o l'ID specificato al momento della registrazione.
**Esempio**
```
// Private ARN
"ProductArn": "arn:aws:securityhub:us-east-1:111111111111:product/111111111111/default"
// Public ARN
"ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty"
"ProductArn": "arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro"
```
## Resources
L'`Resources`array di oggetti fornisce una serie di tipi di dati sulle risorse che descrivono le AWS risorse a cui si riferisce il risultato. Per informazioni dettagliate sui campi che un `Resources` oggetto può contenere, inclusi i campi obbligatori, consulta [Resource](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_Resource.html) la sezione *AWS Security Hub API Reference*. Per esempi di `Resources` oggetti specifici Servizi AWS, vedere[Resources Oggetto ASFF](asff-resources.md).
**Esempio**
```
"Resources": [
{
"ApplicationArn": "arn:aws:resource-groups:us-west-2:123456789012:group/SampleApp/1234567890abcdef0",
"ApplicationName": "SampleApp",
"DataClassification": {
"DetailedResultsLocation": "Path_to_Folder_Or_File",
"Result": {
"MimeType": "text/plain",
"SizeClassified": 2966026,
"AdditionalOccurrences": false,
"Status": {
"Code": "COMPLETE",
"Reason": "Unsupportedfield"
},
"SensitiveData": [
{
"Category": "PERSONAL_INFORMATION",
"Detections": [
{
"Count": 34,
"Type": "GE_PERSONAL_ID",
"Occurrences": {
"LineRanges": [
{
"Start": 1,
"End": 10,
"StartColumn": 20
}
],
"Pages": [],
"Records": [],
"Cells": []
}
},
{
"Count": 59,
"Type": "EMAIL_ADDRESS",
"Occurrences": {
"Pages": [
{
"PageNumber": 1,
"OffsetRange": {
"Start": 1,
"End": 100,
"StartColumn": 10
},
"LineRange": {
"Start": 1,
"End": 100,
"StartColumn": 10
}
}
]
}
},
{
"Count": 2229,
"Type": "URL",
"Occurrences": {
"LineRanges": [
{
"Start": 1,
"End": 13
}
]
}
},
{
"Count": 13826,
"Type": "NameDetection",
"Occurrences": {
"Records": [
{
"RecordIndex": 1,
"JsonPath": "$.ssn.value"
}
]
}
},
{
"Count": 32,
"Type": "AddressDetection"
}
],
"TotalCount": 32
}
],
"CustomDataIdentifiers": {
"Detections": [
{
"Arn": "1712be25e7c7f53c731fe464f1c869b8",
"Name": "1712be25e7c7f53c731fe464f1c869b8",
"Count": 2
}
],
"TotalCount": 2
}
}
},
"Type": "AwsEc2Instance",
"Id": "arn:aws:ec2:us-west-2:123456789012:instance/i-abcdef01234567890",
"Partition": "aws",
"Region": "us-west-2",
"ResourceRole": "Target",
"Tags": {
"billingCode": "Lotus-1-2-3",
"needsPatching": true
},
"Details": {
"IamInstanceProfileArn": "arn:aws:iam::123456789012:role/IamInstanceProfileArn",
"ImageId": "ami-79fd7eee",
"IpV4Addresses": ["1.1.1.1"],
"IpV6Addresses": ["2001:db8:1234:1a2b::123"],
"KeyName": "testkey",
"LaunchedAt": "2018-09-29T01:25:54Z",
"MetadataOptions": {
"HttpEndpoint": "enabled",
"HttpProtocolIpv6": "enabled",
"HttpPutResponseHopLimit": 1,
"HttpTokens": "optional",
"InstanceMetadataTags": "disabled"
}
},
"NetworkInterfaces": [
{
"NetworkInterfaceId": "eni-e5aa89a3"
}
],
"SubnetId": "PublicSubnet",
"Type": "i3.xlarge",
"VirtualizationType": "hvm",
"VpcId": "TestVPCIpv6"
}
]
```
## SchemaVersion
La versione dello schema per cui un risultato è formattato. Il valore di questo campo deve essere una delle versioni pubblicate ufficialmente identificate da AWS. Nella versione corrente, la versione dello schema AWS Security Finding Format è`2018-10-08`.
**Esempio**
```
"SchemaVersion": "2018-10-08"
```
## Gravità
Definisce l'importanza di un risultato. Per informazioni dettagliate su questo oggetto, [`Severity`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_Severity.html) consulta l'*AWS Security Hub API Reference*.
`Severity`è sia un oggetto di primo livello in un risultato che è annidato sotto l'`FindingProviderFields`oggetto.
Il valore dell'`Severity`oggetto di primo livello per un risultato deve essere aggiornato solo utilizzando l'API. [`BatchUpdateFindings`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchUpdateFindings.html)
Per fornire informazioni sulla gravità, i provider di ricerca devono aggiornare l'`Severity`oggetto in basso `FindingProviderFields` quando si effettua una richiesta [`BatchImportFindings`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchImportFindings.html) API.
Se una `BatchImportFindings` richiesta di nuovo risultato fornisce solo `Label` o fornisce solo`Normalized`, Security Hub CSPM compila automaticamente il valore dell'altro campo.
I `Original` campi `Product` e possono anche essere compilati.
Se l'`Finding.Severity`oggetto di primo livello è presente ma non lo `Finding.FindingProviderFields` è, Security Hub CSPM crea l'`FindingProviderFields.Severity`oggetto e vi copia l'intero contenuto. `Finding.Severity object` Ciò garantisce che i dettagli originali forniti dal provider vengano mantenuti all'interno della `FindingProviderFields.Severity` struttura, anche se l'oggetto di primo livello viene sovrascritto. `Severity`
La gravità del risultato non considera la criticità degli asset coinvolti o della risorsa sottostante. La criticità è definita come il livello di importanza delle risorse associate al risultato. Ad esempio, una risorsa associata a un'applicazione mission critical presenta un livello di criticità maggiore rispetto a una risorsa associata a test non di produzione. Per acquisire informazioni sulla criticità delle risorse, utilizza il campo `Criticality`.
Consigliamo di utilizzare le seguenti linee guida per tradurre i punteggi di gravità nativi dei risultati nel valore di nell'ASFF. `Severity.Label`
+ `INFORMATIONAL`— Questa categoria può includere un risultato relativo a `PASSED``WARNING`, un `NOT AVAILABLE` controllo o un'identificazione di dati sensibili.
+ `LOW`— Risultati che potrebbero portare a compromessi futuri. Ad esempio, questa categoria può includere vulnerabilità, punti deboli di configurazione e password esposte.
+ `MEDIUM`— Risultati che indicano una compromissione attiva, ma nessuna indicazione che un avversario abbia raggiunto i propri obiettivi. Ad esempio, questa categoria può includere attività di malware, attività di hacking e rilevamento di comportamenti insoliti.
+ `HIGH`oppure `CRITICAL` — Risultati che indicano che un avversario ha raggiunto i propri obiettivi, ad esempio perdita o compromissione dei dati attivi o negazione del servizio.
**Esempio**
```
"Severity": {
"Label": "CRITICAL",
"Normalized": 90,
"Original": "CRITICAL"
}
```
## Titolo
Il titolo di un risultato. Questo campo può contenere testo boilerplate non specifico o dettagli specifici per l'istanza del risultato.
Per i risultati del controllo, questo campo fornisce il titolo del controllo. Questo campo non fa riferimento a uno standard se si attivano i risultati [ di controllo ](controls-findings-create-update.md#consolidated-control-findings) consolidati.
**Esempio**
```
"Title": "AWS Config should be enabled"
```
## Tipi
Uno o più tipi di risultati nel formato `{{namespace}}/{{category}}/{{classifier}}` che classificano un risultato. Questo campo non fa riferimento a uno standard se attivi i risultati di controllo [ consolidati. ](controls-findings-create-update.md#consolidated-control-findings)
`Types`deve essere aggiornato solo utilizzando l'[`BatchUpdateFindings`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchUpdateFindings.html)API.
La ricerca di provider che desiderano fornire un valore per `Types` deve utilizzare l'`Types`attributo under [`FindingProviderFields`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_FindingProviderFields.html).
Nell'elenco seguente, i punti elenco di primo livello sono namespace, i punti elenco di secondo livello sono categorie e i punti elenco di terzo livello sono classificatori. Consigliamo che i provider di ricerca utilizzino namespace definiti per facilitare l'ordinamento e il raggruppamento dei risultati. È possibile utilizzare anche le categorie e i classificatori definiti, ma non sono obbligatori. Solo lo spazio dei nomi Software and Configuration Checks dispone di classificatori definiti.
È possibile definire un percorso parziale per /classifier. namespace/category Ad esempio, i seguenti tipi di ricerca sono tutti validi:
+ TTPs
+ TTPs/Defense Evasione
+ TTPs/Defense Evasion/CloudTrailStopped
Le categorie di tattiche, tecniche e procedure (TTP) nell'elenco seguente sono allineate a MITRE ATT&CK MatrixTM. [https://attack.mitre.org/matrices/enterprise/](https://attack.mitre.org/matrices/enterprise/) Lo spazio dei nomi Unusual Behaviors riflette comportamenti insoliti generali, come anomalie statistiche generali, e non è allineato a un TTP specifico. Tuttavia, è possibile classificare un risultato con entrambi i tipi di risultato Unusual Behaviors e TTPs.
**Elenco di namespace, categorie e classificatori: **
+ Software and Configuration Checks
+ Vulnerabilità
+ CVE
+ AWS Best practice in materia di sicurezza
+ Network Reachability
+ Runtime Behavior Analysis
+ Industry and Regulatory Standards
+ AWS Best practice fondamentali in materia di sicurezza
+ CIS Host Hardening Benchmarks
+ Benchmark CIS Foundations AWS
+ PCI-DSS
+ Controlli Cloud Security Alliance
+ Controlli ISO 90001
+ Controlli ISO 27001
+ Controlli ISO 27017
+ Controlli ISO 27018
+ SOC 1
+ SOC 2
+ Controlli HIPAA (USA)
+ Controlli NIST 800-53 (USA)
+ Controlli NIST CSF (USA)
+ Controlli IRAP (Australia)
+ K-ISMS Controls (Corea)
+ Controlli MTCS (Singapore)
+ Controlli FISC (Giappone)
+ Controlli My Number Act (Giappone)
+ Controlli ENS (Spagna)
+ Controlli Cyber Essentials Plus (Regno Unito)
+ G-Cloud Controls (Regno Unito)
+ Controlli C5 (Germania)
+ IT-Grundschutz Controls (Germania)
+ Controlli GDPR (Europa)
+ Controlli TISAX (Europa)
+ Gestione delle patch
+ TTPs
+ Accesso iniziale
+ Esecuzione
+ Persistenza
+ Escalation dei privilegi
+ Defense Evasion
+ Accessi a credenziali
+ Individuazione
+ Movimento laterale
+ Raccolta
+ Comando e controllo
+ Effetti
+ Esposizione di dati
+ Esfiltrazione di dati
+ Distruzione di dati
+ Denial of Service
+ Consumo di risorse
+ Comportamenti insoliti
+ Applicazione
+ Flusso di rete
+ IP address (Indirizzo IP)
+ Utente
+ VM
+ Contenitore
+ Serverless
+ Processo
+ Database
+ Dati
+ Identificazioni dati sensibili
+ Informazioni che consentono l'identificazione personale degli utenti
+ Password
+ Note legali
+ Servizi finanziari
+ Sicurezza
+ Business
**Esempio**
```
"Types": [
"Software and Configuration Checks/Vulnerabilities/CVE"
]
```
## UpdatedAt
Indica quando il provider di ricerca ha aggiornato l'ultima volta il record di ricerca.
Questo timestamp riflette l'ora in cui il record di ricerca è stato aggiornato per l'ultima volta o più di recente. Di conseguenza, può differire dal `LastObservedAt` timestamp, che indica l'ultima o la più recente osservazione dell'evento o della vulnerabilità.
Quando si aggiorna il record di risultato, è necessario aggiornare il timestamp al timestamp corrente. Al momento della creazione di un record di ricerca, i timestamp `CreatedAt` e i `UpdatedAt` timestamp devono coincidere. Dopo un aggiornamento del record di ricerca, il valore di questo campo deve essere più recente di tutti i valori precedenti in esso contenuti.
Nota che `UpdatedAt` non può essere aggiornato utilizzando l'[`BatchUpdateFindings`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchUpdateFindings.html)operazione. È possibile aggiornarlo solo utilizzando l'[`BatchImportFindings`](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_BatchImportFindings.html)operazione.
**Esempio**
```
"UpdatedAt": "2017-04-22T13:22:13.933Z"
```