Disabilitazione di un controllo tra standard diversi

Ti consigliamo di disabilitare qualsiasi AWS Security Hub controllo tra gli standard per mantenere l'allineamento in tutta l'organizzazione. Se disabiliti un controllo in standard specifici, continuerai a ricevere i risultati del controllo se è abilitato in altri standard.

Disattivazione di più standard in più account e regioni

Per disabilitare un controllo di sicurezza su più Account AWS e Regioni AWS, è necessario utilizzare la configurazione centrale.

Quando si utilizza la configurazione centrale, l'amministratore delegato può creare politiche di configurazione del Security Hub che disabilitano i controlli specifici tra gli standard abilitati. È quindi possibile associare la politica di configurazione a account specifici o alla directory principale. OUs Una politica di configurazione ha effetto nella regione di origine (chiamata anche regione di aggregazione) e in tutte le regioni collegate.

Le politiche di configurazione offrono la personalizzazione. Ad esempio, puoi scegliere di disabilitare tutti i AWS CloudTrail controlli in un'unità organizzativa e puoi scegliere di disabilitare tutti i controlli IAM in un'altra unità organizzativa. Il livello di granularità dipende dagli obiettivi prefissati per la copertura di sicurezza nell'organizzazione. Per istruzioni sulla creazione di una politica di configurazione che disabiliti controlli specifici tra gli standard, vedi. Creazione e associazione di policy di configurazione

Nota

L'amministratore delegato può creare politiche di configurazione per gestire i controlli in tutti gli standard tranne il Service-Managed Standard:. AWS Control Tower I controlli per questo standard devono essere configurati nel servizio. AWS Control Tower

Se desideri che alcuni account configurino i propri controlli anziché l'amministratore delegato, l'amministratore delegato può designare tali account come autogestiti. Gli account autogestiti devono configurare i controlli separatamente in ciascuna regione.

Disattivazione di più standard in un unico account e regione

Se non utilizzi la configurazione centrale o sei un account autogestito, non puoi utilizzare i criteri di configurazione per disabilitare centralmente i controlli in più account e regioni. Tuttavia, puoi utilizzare i seguenti passaggi per disabilitare un controllo in un singolo account e regione.

Security Hub console

Per disabilitare un controllo su più standard in un account e in un'unica regione

1. Apri la AWS Security Hub console all'indirizzo https://console.aws.amazon.com/securityhub/.

2. Scegli Controlli dal pannello di navigazione.

3. Scegli l'opzione accanto a un controllo.

4. Scegli Disabilita controllo (questa opzione non viene visualizzata per un controllo già disabilitato).

5. Seleziona un motivo per disabilitare il controllo e conferma scegliendo Disabilita.

6. Ripeti l'operazione in ogni regione in cui desideri disattivare il controllo.

Security Hub API

Per disabilitare un controllo su più standard in un account e in una regione

1. Invoca il ListStandardsControlAssociationsAPI. Fornisci un ID di controllo di sicurezza.

   Richiesta di esempio:

   {
       "SecurityControlId": "IAM.1"
   }

2. Invoca il BatchUpdateStandardsControlAssociationsAPI. Fornisci l'ARN di tutti gli standard in cui è abilitato il controllo. Per ottenere lo standard ARNs, DescribeStandardsesegui.

3. Imposta il AssociationStatus parametro uguale aDISABLED. Se segui questi passaggi per un controllo già disabilitato, l'API restituisce una risposta con codice di stato HTTP 200.

   Richiesta di esempio:

   {
       "StandardsControlAssociationUpdates": [{"SecurityControlId": "IAM.1", "StandardsArn": "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0", "AssociationStatus": "DISABLED", "UpdatedReason": "Not applicable to environment"}, {"SecurityControlId": "IAM.1", "StandardsArn": "arn:aws:securityhub:::standards/aws-foundational-security-best-practices/v/1.0.0", "AssociationStatus": "DISABLED", "UpdatedReason": "Not applicable to environment"}}]
   }

4. Ripetere l'operazione in ogni regione in cui si desidera disattivare il controllo.

AWS CLI

Per disabilitare un controllo su più standard in un account e in una regione

1. Eseguire list-standards-control-associationscomando. Fornisci un ID di controllo di sicurezza.

   aws securityhub  --region us-east-1 list-standards-control-associations --security-control-id CloudTrail.1

2. Eseguire batch-update-standards-control-associationscomando. Fornisci l'ARN di tutti gli standard in cui è abilitato il controllo. Per ottenere lo standard ARNs, esegui il describe-standards comando.

3. Imposta il AssociationStatus parametro uguale aDISABLED. Se segui questi passaggi per un controllo già disabilitato, il comando restituisce una risposta con il codice di stato HTTP 200.

   aws securityhub  --region us-east-1 batch-update-standards-control-associations --standards-control-association-updates '[{"SecurityControlId": "CloudTrail.1", "StandardsArn": "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0", "AssociationStatus": "DISABLED", "UpdatedReason": "Not applicable to environment"}, {"SecurityControlId": "CloudTrail.1", "StandardsArn": "arn:aws:securityhub:::standards/cis-aws-foundations-benchmark/v/1.4.0", "AssociationStatus": "DISABLED", "UpdatedReason": "Not applicable to environment"}]'
                   

4. Ripeti l'operazione in ogni regione in cui desideri disattivare il controllo.