Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
Scansione della rete in Security Hub
La scansione della rete è una funzionalità opzionale di Security Hub che esegue test attivi di raggiungibilità della rete sulle risorse cloud. Control-plane l'analisi valuta i gruppi di sicurezza, gli elenchi di controllo dell'accesso alla rete (NACL) e le tabelle di routing per determinare cosa potrebbe essere raggiungibile. La scansione della rete va oltre rilevando ciò che è effettivamente raggiungibile. Esamina le tue risorse esterne ai tuoi account per identificare le porte aperte e i servizi in esecuzione.
Tutte le scansioni provengono da indirizzi AWS IP di proprietà e rispondono a due domande: questa risorsa è raggiungibile da Internet? Se raggiungibile, cosa è in esecuzione? Network Scanning pubblica i risultati come risultati OCSF autonomi in Security Hub con prove di scansione.
Tipi di risorse supportati
Network Scanning supporta i seguenti tipi di risorse.
| Fornitore di servizi cloud | Tipo di risorsa |
|---|---|
| AWS | Istanza EC2 (con IP pubblico) |
| AWS | IP elastico (EIP) |
| AWS | Network Load Balancer (NLB) |
| AWS | Application Load Balancer (ALB) |
| AWS | Load Balancer classico (CLB) |
| Azure | Indirizzo IP pubblico |
Nota
Network Scanning analizza ogni tipo di risorsa in modo indipendente. Per i sistemi di bilanciamento del carico, Network Scanning risolve e analizza il nome DNS. Network Scanning esegue la scansione delle singole istanze EC2 su un sistema di bilanciamento del carico solo se dispongono di un proprio IP o EIP pubblico.
Abilita la scansione di rete
Per abilitare la scansione in rete, Security Hub deve essere abilitato sul tuo account. È possibile abilitare la scansione della rete tramite una politica di configurazione o per singoli account.
Account aziendali (consigliato): abilita la scansione della rete tra gli account e le regioni dell'organizzazione creando o modificando una politica di configurazione. Per ulteriori informazioni sulla modifica di una politica di configurazione, vedere Modifica di una politica di configurazione. Quando Network Scanning è abilitato tramite un criterio di configurazione, gli account dei membri non possono disattivare la funzionalità.
Account individuali: per gli account che non sono gestiti da una politica di configurazione, è possibile abilitare la scansione della rete utilizzando uno dei seguenti metodi.
Nota
Abilitando la scansione della rete, autorizzi Security Hub a eseguire una scansione attiva della rete sulle risorse nei tuoi AWS ambienti e negli ambienti Azure. Ciò include i tentativi di connessione alla porta TCP, l'identificazione di applicazioni e protocolli e la raccolta di banner di servizio, intestazioni HTTP e metadati dei certificati TLS.
Come funziona la scansione in rete
Dopo aver abilitato la scansione in rete, si verifica quanto segue:
-
Network Scanning esegue la scansione delle risorse esistenti entro circa 24 ore dall'attivazione della funzionalità.
-
Network Scanning analizza le nuove risorse poco dopo che Security Hub riceve la notifica della risorsa creata.
-
Network Scanning esegue nuovamente la scansione delle risorse quando vengono apportate determinate modifiche al piano di controllo idoneo a una risorsa idonea alla scansione.
-
Network Scanning esegue nuovamente la scansione delle risorse attive all'incirca ogni 12 ore per rilevare le modifiche alla raggiungibilità.
Le risorse temporanee o di breve durata potrebbero non essere scansionate prima di essere terminate.
Risultati della scansione di rete
Network Scanning pubblica i risultati in formato Open Cybersecurity Schema Framework (OCSF), utilizzando l'estensione AWS OCSF, e vengono visualizzati insieme ad altri risultati di Security Hub. La scansione della rete determina se una risorsa dispone o meno di porte raggiungibili. Se non esiste un risultato per un tipo di risorsa supportato, Network Scanning non ha ancora analizzato la risorsa.
Risultati relativi alle porte raggiungibili
Ogni risultato rappresenta una singola porta raggiungibile su una specifica combinazione di risorse e indirizzi. La port_scan_result_list sezione di un risultato OCSF contiene i risultati della scansione. Gli esempi seguenti mostrano le informazioni restituite per una risorsa raggiungibile:
"port_scan_result_list": [ { "port_info": { "port": 6379, "protocol_name": "tcp", "protocol_num": 6 }, "status": "Open", "status_id": 1, "svc_name": "redis" } ],
"port_scan_result_list": [ { "http_response": { "code": 200, "content_type": "text/html; charset=UTF-8", "http_headers": [ { "name": "Server", "value": "Apache/2.4.68 (Amazon Linux)" }, { "name": "Content-Type", "value": "text/html; charset=UTF-8" } ], "latency": 124 }, "port_info": { "port": 8080, "protocol_name": "tcp", "protocol_num": 6 }, "status": "Open", "status_id": 1 } ],
Risultati informativi relativi all'assenza di porte aperte
La scansione di rete crea un risultato quando non rileva alcuna porta aperta su una risorsa. Questo risultato ha una gravità di Informational e non richiede alcuna azione. Conferma che Network Scanning ha analizzato la risorsa.
Il risultato informativo rimane aperto in Security Hub finché non si elimina la risorsa o finché Network Scanning non rileva porte aperte sulla risorsa. Quando Network Scanning identifica le porte aperte su una risorsa con un risultato informativo, chiude il risultato informativo. Quindi crea un risultato per ogni porta aperta.
I risultati informativi relativi all'assenza di porte aperte riguardano le porte attualmente supportate da Network Scanning. Per un elenco delle porte supportate, vederePorte supportate.
Ricerca degli eventi del ciclo di vita
La tabella seguente descrive il ciclo di vita di un risultato di Network Scanning.
| Event | Cosa succede |
|---|---|
| Nessuna porta aperta rilevata | La scansione in rete crea un Informational risultato che non richiede alcuna azione |
| Porte aperte rilevate sulla risorsa con ricerca informativa | La scansione in rete chiude il risultato informativo e crea un risultato per ogni porta aperta |
| Porta rilevata per la prima volta come raggiungibile | Network Scanning crea e pubblica una nuova scoperta |
| Porta ancora raggiungibile su rescan (nessuna modifica) | Network Scanning aggiorna periodicamente il risultato |
| La porta è ancora raggiungibile ma le prove sono cambiate | Network Scanning ripubblica la scoperta con prove aggiornate |
| Porta non più raggiungibile | La ricerca rimane aperta fino a quando la successiva scansione non confermerà che la porta non è raggiungibile |
| Risorsa terminata o eliminata | Network Scanning chiude tutti i risultati relativi alla risorsa impostando l'attributo su activity_name Close |
| Indirizzo IP rimosso dalla risorsa | La scansione di rete chiude i risultati relativi a quell'IP specifico |
| Scansione di rete disattivata | La scansione in rete non produce nuovi risultati; i risultati esistenti rimangono invariati fino a esaurimento |
| Security Hub disattivato | Non hai più accesso ai risultati |
Se una porta è raggiungibile in modo intermittente, Network Scanning basa i risultati su prove positive al momento della scansione. Dopo aver risolto un problema (ad esempio, chiudendo una regola del firewall o interrompendo un servizio), Network Scanning chiude il risultato alla scansione successiva.
La disattivazione della scansione in rete non comporta la chiusura immediata dei risultati. I risultati esistenti rimangono visibili fino a esaurimento nel normale ciclo di vita dei risultati di Security Hub.
Nota
Quando si collega un indirizzo IP elastico (EIP) a un'istanza Amazon EC2, Network Scanning produce risultati sulla risorsa EIP. L'EIP è la risorsa IP di primo livello proprietaria dell'indirizzo. Per le risorse Network Load Balancer (NLB), il nome DNS e gli EIP associati sono punti di ingresso alla rete distinti, pertanto Network Scanning produce risultati separati per ciascuno.
Scansiona le prove
Quando Network Scanning rileva che una porta è raggiungibile, il risultato include prove sul servizio raggiungibile. È possibile raccogliere i seguenti tipi di prove:
- Banner TCP
-
Byte iniziali inviati dal servizio al momento della connessione, ad esempio una stringa di versione SSH.
- Metadati HTTP
-
Intestazioni di risposta e codice di stato HTTP.
- Certificato TLS
-
Nome comune (CN), emittente, data di scadenza e stato autofirmato.
- Rilevamento del servizio
-
Applicazione o protocollo identificato in esecuzione sulla porta.
Esclusione delle risorse dalla scansione
Per escludere una risorsa dalla scansione in rete, aggiungete la chiave tag SecurityHubNetworkScanExclusion alla risorsa. Il valore del tag può essere qualsiasi valore o vuoto.
È necessario applicare il tag alla risorsa effettiva con l'IP pubblico scansionabile:
-
Per un EIP collegato a un'istanza EC2, contrassegna l'EIP, non l'istanza EC2.
-
Per un'istanza EC2 con solo un IP pubblico (senza EIP), contrassegna l'istanza EC2.
-
Per un sistema di bilanciamento del carico, contrassegna il load balancer e tutti i target con singoli IP pubblici.
Quando aggiungi il tag di esclusione, Network Scanning interrompe le scansioni future e chiude i risultati attivi per quella risorsa. La rimozione del tag rende la risorsa idonea per la scansione nuovamente.
Porte supportate
Network Scanning analizza le seguenti porte TCP note su risorse idonee.
21, 22, 23, 25, 53, 80, 110, 143, 443, 445, 1433, 3306, 3389, 5432, 5900, 6379, 8080, 8443, 9200, 27017
Multi-cloud supporto
La scansione di rete supporta gli indirizzi IP pubblici di Azure. Per analizzare le risorse di Azure, crea un connettore Security Hub per il tuo ambiente Azure. Per ulteriori informazioni sull'integrazione con Microsoft Azure, vedi Integrating Security Hub with Microsoft Azure.
Il comportamento di scansione, le prove e i risultati delle risorse di Azure sono identici alle risorse. AWS I risultati vengono visualizzati insieme ai AWS risultati con i metadati appropriati del provider di cloud e della regione.
Disponibilità nelle regioni
La scansione della rete è disponibile nelle AWS regioni commerciali in cui è disponibile Security Hub.
Disattiva la scansione di rete
Se l'organizzazione utilizza criteri di configurazione, l'amministratore delegato può disabilitare la scansione della rete per account e regioni specifici modificando i criteri di configurazione. Per ulteriori informazioni sulla modifica di una politica di configurazione, vedere Modifica di una politica di configurazione. Quando modifichi la policy, seleziona la funzionalità di scansione della rete, scegli Disabilita, quindi specifica gli account e le regioni in cui desideri disattivare la scansione.
Per gli account che non sono gestiti da un criterio di configurazione, puoi disattivare la scansione in rete utilizzando uno dei seguenti metodi.
Quando si disattiva la scansione in rete:
-
La scansione in rete non attiva nuove scansioni.
-
I risultati esistenti rimangono visibili fino a esaurimento nel normale ciclo di vita dei risultati di Security Hub.
-
La scansione in rete completa tutte le scansioni già in corso.
