Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Generazione e aggiornamento dei risultati del controllo
AWS Security Hub genera risultati eseguendo controlli rispetto ai controlli di sicurezza. Questi risultati utilizzano il AWS Security Finding Format (ASFF). Si noti che se la dimensione del risultato supera il massimo di 240 KB, l'Resource.Detailsoggetto viene rimosso. Per i controlli supportati da AWS Config
risorse, è possibile visualizzare i dettagli delle risorse sulla AWS Config console.
Security Hub normalmente addebita un costo per ogni controllo di sicurezza. Tuttavia, se più controlli utilizzano la stessa AWS Config regola, Security Hub addebita una sola volta per ogni controllo rispetto alla AWS Config regola. Se attivi i risultati del controllo consolidato, Security Hub genera un singolo risultato per un controllo di sicurezza anche quando il controllo è incluso in più standard abilitati.
Ad esempio, la AWS Config regola iam-password-policy viene utilizzata da più controlli nello standard Center for Internet Security (CIS) AWS Foundations Benchmark e nello standard Foundational Security Best Practices. Ogni volta che Security Hub esegue un controllo rispetto a tale AWS Config regola, genera un risultato separato per ogni controllo correlato, ma addebita una sola volta per il controllo.
Risultati di controllo consolidati
Quando i risultati del controllo consolidato sono attivati nel tuo account, Security Hub genera un singolo nuovo risultato o aggiornamento dei risultati per ogni controllo di sicurezza di un controllo, anche se un controllo si applica a più standard abilitati. Per visualizzare un elenco dei controlli e degli standard a cui si applicano, consultaRiferimento ai controlli del Security Hub. È possibile attivare o disattivare i risultati del controllo consolidato. Ti consigliamo di accenderlo per ridurre il rumore di rilevamento.
Se hai abilitato Security Hub Account AWS prima del 23 febbraio 2023, devi attivare i risultati del controllo consolidato seguendo le istruzioni riportate più avanti in questa sezione. Se attivi Security Hub a partire dal 23 febbraio 2023, i risultati del controllo consolidato vengono automaticamente attivati nel tuo account. Tuttavia, se utilizzi l'integrazione di Security Hub con AWS Organizations o gli account dei membri invitati tramite una procedura di invito manuale, i risultati del controllo consolidato vengono attivati negli account dei membri solo se sono attivati nell'account amministratore. Se la funzionalità è disattivata nell'account amministratore, è disattivata negli account dei membri. Questo comportamento si applica agli account membro nuovi ed esistenti.
Se disattivi i risultati del controllo consolidato nel tuo account, Security Hub genera un risultato separato per ogni controllo di sicurezza per ogni standard abilitato che include un controllo. Ad esempio, se quattro standard abilitati condividono un controllo con la stessa AWS Config regola sottostante, riceverai quattro risultati separati dopo un controllo di sicurezza del controllo. Se attivi i risultati del controllo consolidato, riceverai solo un risultato. Per ulteriori informazioni su come il consolidamento influisce sui risultati, consulta. Esempi di risultati del controllo
Quando attivi i risultati del controllo consolidato, Security Hub crea nuovi risultati indipendenti dagli standard e archivia i risultati originali basati sugli standard. Alcuni campi e valori di ricerca dei controlli cambieranno e potrebbero influire sui flussi di lavoro esistenti. Per ulteriori informazioni su queste modifiche, vedi Risultati di controllo consolidati: modifiche ASFF.
L'attivazione dei risultati del controllo consolidato può influire anche sui risultati che le integrazioni di terze parti ricevono da Security Hub. Automated Security Response nella versione AWS 2.0.0 supporta
Attivazione dei risultati del controllo consolidato
Per attivare i risultati del controllo consolidato, è necessario accedere a un account amministratore o a un account autonomo.
Nota
Dopo aver attivato i risultati del controllo consolidato, Security Hub potrebbe impiegare fino a 24 ore per generare nuovi risultati consolidati e archiviare i risultati originali basati su standard. Durante questo periodo, nel tuo account potresti visualizzare una combinazione di risultati indipendenti dagli standard e basati sugli standard.
Disattivazione dei risultati del controllo consolidato
Per disattivare i risultati del controllo consolidato, è necessario accedere a un account amministratore o a un account autonomo.
Nota
Dopo aver disattivato i risultati del controllo consolidato, Security Hub potrebbe impiegare fino a 24 ore per generare nuovi risultati basati su standard e archiviare i risultati consolidati. Durante questo periodo, potresti visualizzare un mix di risultati basati su standard e consolidati nel tuo account.
Compliancedettagli relativi ai risultati del controllo
Per quanto riguarda i risultati generati dai controlli di sicurezza, il Compliancecampo del AWS Security Finding Format (ASFF) contiene dettagli relativi ai risultati dei controlli. Il campo Compliance include le seguenti informazioni:
AssociatedStandards-
Gli standard abilitati in cui è abilitato un controllo.
RelatedRequirements-
L'elenco dei requisiti correlati per il controllo in tutti gli standard abilitati. I requisiti provengono dal framework di sicurezza di terze parti per il controllo, come il Payment Card Industry Data Security Standard (PCI DSS).
SecurityControlId-
L'identificatore per il controllo degli standard di sicurezza supportati da Security Hub.
Status-
Il risultato del controllo più recente eseguito da Security Hub per un determinato controllo. I risultati dei controlli precedenti vengono conservati in un stato archiviato per 90 giorni.
StatusReasons-
Contiene un elenco di motivi del valore di
Compliance.Status. Per ogni motivo,StatusReasonsinclude il codice motivo e una descrizione.
La tabella seguente elenca i codici e le descrizioni dei motivi dello stato disponibili. Le fasi di correzione dipendono dal controllo che ha generato un risultato con il codice motivo. Scegli un controllo tra i seguenti Riferimento ai controlli del Security Hub per visualizzare i passaggi di riparazione relativi a quel controllo.
|
Codice di motivo |
Compliance.Status |
Descrizione |
|---|---|---|
|
|
|
Il CloudTrail percorso multiregionale non dispone di un filtro metrico valido. |
|
|
|
I filtri metrici non sono presenti per il percorso multiregionale. CloudTrail |
|
|
|
L'account non dispone di un CloudTrail percorso multiregionale con la configurazione richiesta. |
|
|
|
I CloudTrail percorsi multiregione non si trovano nella regione attuale. |
|
|
|
Non sono presenti operazioni di allarme valide. |
|
|
|
CloudWatch gli allarmi non esistono nell'account. |
|
|
AWS Config lo stato è |
AWS Config accesso negato. Verifica che AWS Config sia abilitato e che siano state concesse autorizzazioni sufficienti. |
|
|
|
AWS Config ha valutato le tue risorse in base alla regola. La regola non si applicava alle AWS risorse incluse nel suo ambito, le risorse specificate sono state eliminate o i risultati della valutazione sono stati eliminati. |
|
|
|
Lo stato di conformità è AWS Config non fornisce il motivo dello stato. Ecco alcuni possibili motivi dello stato Non applicabile:
|
|
|
AWS Config lo stato è |
Questo codice motivo viene utilizzato per diversi tipi di errori di valutazione. La descrizione fornisce le informazioni sul motivo specifico. Il tipo di errore può essere uno dei seguenti:
|
|
|
AWS Config lo stato è |
La AWS Config regola è in fase di creazione. |
|
|
|
Si è verificato un errore sconosciuto. |
|
|
Non riuscito |
Security Hub non è in grado di eseguire un controllo rispetto a un runtime Lambda personalizzato. |
|
|
|
Il risultato è in uno Questa regola non supporta controlli tra regioni o account. È consigliabile disabilitare questo controllo in questa regione o account. Esegui solo nella regione o nell'account in cui si trova la risorsa. |
|
|
|
I filtri metrici CloudWatch Logs non dispongono di un abbonamento Amazon SNS valido. |
|
|
WARNING |
Il risultato è in uno stato. L'argomento SNS associato a questa regola è di proprietà di un account diverso. L'account corrente non è in grado di ottenere le informazioni sull'abbonamento. L'account proprietario dell'argomento SNS deve concedere all'account corrente l' |
|
|
|
Il risultato è in uno Questa regola non supporta controlli tra regioni o account. È consigliabile disabilitare questo controllo in questa regione o account. Esegui solo nella regione o nell'account in cui si trova la risorsa. |
|
|
|
L'argomento SNS associato a questa regola non è valido. |
|
|
|
L'operazione API pertinente ha superato il limite consentito. |
ProductFieldsdettagli relativi ai risultati del controllo
Quando Security Hub esegue controlli di sicurezza e genera risultati di controllo, l'ProductFieldsattributo in ASFF include i seguenti campi:
ArchivalReasons:0/Description-
Descrive perché Security Hub ha archiviato i risultati esistenti.
Ad esempio, Security Hub archivia i risultati esistenti quando si disattiva un controllo o uno standard e quando si attivano o disattivano i risultati del controllo consolidato.
ArchivalReasons:0/ReasonCode-
Fornisce il motivo per cui Security Hub ha archiviato i risultati esistenti.
Ad esempio, Security Hub archivia i risultati esistenti quando si disattiva un controllo o uno standard e quando si attivano o disattivano i risultati del controllo consolidato.
StandardsGuideArnoStandardsArn-
L'ARN dello standard associato al controllo.
Per lo standard CIS AWS Foundations Benchmark, il campo è.
StandardsGuideArnPer gli standard PCI DSS e AWS Foundational Security Best Practices, il campo è.
StandardsArnQuesti campi vengono rimossi a favore di
Compliance.AssociatedStandardsse si attivano i risultati di controllo consolidati. StandardsGuideSubscriptionArnoStandardsSubscriptionArn-
L'ARN dell'abbonamento dell'account allo standard.
Per lo standard CIS AWS Foundations Benchmark, il campo è.
StandardsGuideSubscriptionArnPer gli standard PCI DSS e AWS Foundational Security Best Practices, il campo è.
StandardsSubscriptionArnQuesti campi vengono rimossi se si attivano i risultati del controllo consolidato.
RuleIdoControlId-
L'identificatore del controllo.
Per lo standard CIS AWS Foundations Benchmark, il campo è.
RuleIdPer altri standard, il campo è.
ControlIdQuesti campi vengono rimossi a favore di
Compliance.SecurityControlIdse si attivano i risultati di controllo consolidati. RecommendationUrl-
L'URL delle informazioni di riparazione per il controllo. Questo campo viene rimosso a favore di
Remediation.Recommendation.Urlse si attivano i risultati del controllo consolidato. RelatedAWSResources:0/name-
Il nome della risorsa associata al risultato.
RelatedAWSResource:0/type-
Il tipo di risorsa associata al controllo.
StandardsControlArn-
L'ARN del controllo. Questo campo viene rimosso se si attivano i risultati del controllo consolidato.
aws/securityhub/ProductName-
Per i risultati basati sul controllo, il nome del prodotto è Security Hub.
aws/securityhub/CompanyName-
Per i risultati basati sul controllo, il nome dell'azienda è. AWS
aws/securityhub/annotation-
Una descrizione del problema rilevato dal controllo.
aws/securityhub/FindingId-
L'identificatore del risultato. Questo campo non fa riferimento a uno standard se si attivano i risultati del controllo consolidato.
Assegnazione della gravità ai risultati del controllo
La severità assegnata a un controllo Security Hub identifica l'importanza del controllo. La gravità di un controllo determina l'etichetta di gravità assegnata ai risultati del controllo.
Criteri di gravità
La gravità di un controllo è determinata sulla base di una valutazione dei seguenti criteri:
-
Quanto è difficile per un autore di minacce sfruttare la debolezza della configurazione associata al controllo?
La difficoltà è determinata dal livello di sofisticazione o complessità necessario per utilizzare la vulnerabilità per realizzare uno scenario di minaccia.
-
Quanto è probabile che la debolezza porti a una compromissione delle vostre Account AWS o delle vostre risorse?
Una compromissione delle vostre Account AWS risorse significa che la riservatezza, l'integrità o la disponibilità dei dati o dell' AWS infrastruttura vengono danneggiate in qualche modo.
La probabilità di compromissione indica la probabilità che lo scenario di minaccia comporti un'interruzione o una violazione dei AWS servizi o delle risorse.
Ad esempio, considera i seguenti punti deboli della configurazione:
-
Le chiavi di accesso utente non vengono ruotate ogni 90 giorni.
-
La chiave utente root IAM esiste.
Entrambi i punti deboli sono ugualmente difficili da sfruttare per un avversario. In entrambi i casi, l'avversario può utilizzare il furto di credenziali o qualche altro metodo per acquisire una chiave utente. Possono quindi utilizzarlo per accedere alle tue risorse in modo non autorizzato.
Tuttavia, la probabilità di una compromissione è molto più elevata se l'autore della minaccia acquisisce la chiave di accesso dell'utente root, in quanto ciò gli offre un accesso maggiore. Di conseguenza, la vulnerabilità della chiave dell'utente root ha una gravità maggiore.
La gravità non tiene conto della criticità della risorsa sottostante. La criticità è il livello di importanza delle risorse associate alla scoperta. Ad esempio, una risorsa associata a un'applicazione mission critical è più importante di una associata a test non di produzione. Per acquisire informazioni sulla criticità delle risorse, utilizzate il Criticality campo del AWS Security Finding Format (ASFF).
La tabella seguente associa la difficoltà di sfruttamento e la probabilità di compromissione alle etichette di sicurezza.
|
Un compromesso è altamente probabile |
Compromesso probabile |
Compromesso improbabile |
Compromesso altamente improbabile |
|
|
Molto facile da sfruttare |
Critico |
Critico |
Elevata |
Media |
|
Un po' facile da sfruttare |
Critico |
Elevata |
Media |
Media |
|
Un po' difficile da sfruttare |
Elevata |
Media |
Media |
Bassa |
|
Molto difficile da sfruttare |
Media |
Media |
Bassa |
Bassa |
Definizioni di severità
Le etichette di gravità sono definite come segue.
- Critico: il problema deve essere risolto immediatamente per evitare che si aggravi.
-
Ad esempio, un bucket S3 aperto è considerato un risultato di gravità critica. Poiché così tanti autori delle minacce cercano bucket S3 aperti, è probabile che i dati contenuti nei bucket S3 esposti vengano scoperti e consultati da altri.
In generale, le risorse accessibili al pubblico sono considerate problemi di sicurezza critici. È necessario trattare i risultati critici con la massima urgenza. È inoltre necessario considerare la criticità della risorsa.
- Alto: la questione deve essere affrontata come una priorità a breve termine.
-
Ad esempio, se un gruppo di sicurezza VPC predefinito è aperto al traffico in entrata e in uscita, viene considerato ad alta severità. È piuttosto facile per un autore di minacce compromettere un VPC utilizzando questo metodo. È anche probabile che l'autore della minaccia sia in grado di interrompere o esfiltrare le risorse una volta inserite nel VPC.
Security Hub consiglia di considerare un rilevamento di elevata gravità come una priorità a breve termine. È necessario adottare misure correttive immediate. È inoltre necessario considerare la criticità della risorsa.
- Medio: la questione dovrebbe essere affrontata come priorità a medio termine.
-
Ad esempio, la mancanza di crittografia per i dati in transito è considerata una rilevazione di gravità media. È necessario un man-in-the-middle attacco sofisticato per sfruttare questa debolezza. In altre parole, è piuttosto difficile. È probabile che alcuni dati vengano compromessi se lo scenario di minaccia ha esito positivo.
Security Hub consiglia di esaminare la risorsa implicata il prima possibile. È inoltre necessario considerare la criticità della risorsa.
- Basso: il problema non richiede di per sé un'azione.
-
Ad esempio, la mancata raccolta di informazioni forensi è considerata di bassa gravità. Questo controllo può aiutare a prevenire future compromessi, ma l'assenza di analisi forensi non porta direttamente a un compromesso.
Non è necessario intervenire immediatamente sui risultati di bassa gravità, ma possono fornire un contesto quando li si correla con altri problemi.
- Informativo: non è stato rilevato alcun punto debole nella configurazione.
-
In altre parole, lo stato è
PASSEDWARNING, oNOT AVAILABLE.Non vi è alcuna azione consigliata. I risultati informativi aiutano i clienti a dimostrare di essere conformi.
Regole per l'aggiornamento dei risultati del controllo
Un successivo controllo rispetto a una determinata regola potrebbe generare un nuovo risultato. Ad esempio, lo stato di «Evita l'uso dell'utente root» potrebbe cambiare da FAILED aPASSED. In tal caso, viene generato un nuovo risultato che contiene il risultato più recente.
Se un controllo successivo rispetto a una determinata regola genera un risultato identico a quello corrente, il risultato esistente viene aggiornato e nessun nuovo risultato viene generato.
Security Hub archivia automaticamente i risultati dei controlli se la risorsa associata viene eliminata, la risorsa non esiste o il controllo è disabilitato. Una risorsa potrebbe non esistere più perché il servizio associato non è attualmente utilizzato. I risultati vengono archiviati automaticamente in base a uno dei seguenti criteri:
-
I risultati non vengono aggiornati per tre-cinque giorni (si noti che si tratta del massimo impegno e non è garantito).
-
La AWS Config valutazione associata è stata restituita
NOT_APPLICABLE.
