기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.
자동화 규칙
자동화 규칙을 사용하여 Security Hub의 조사 결과를 자동으로 업데이트할 수 있습니다. 조사 결과가 수집되면 Security Hub는 조사 결과 제외, 심각도 변경, 조사 결과에 메모 추가 등 다양한 규칙 작업을 적용할 수 있습니다. 이러한 규칙 작업은 조사 결과가 연결된 리소스 또는 계정 ID, 제목 등 지정된 기준과 일치할 때 적용됩니다.
자동화 규칙 사용 사례의 예는 다음과 같습니다.
-
조사 결과의 리소스 ID가 비즈니스에 중요한 리소스를 참조하는 경우 조사 결과의 심각도를
CRITICAL로 상향 조정합니다. -
조사 결과가 특정 프로덕션 계정의 리소스에 영향을 미치는 경우 조사 결과의 심각도를
HIGH에서CRITICAL로 상향 조정합니다. -
INFORMATIONAL심각도를 지닌 특정 조사 결과를SUPPRESSED워크플로우 상태에 할당합니다.
자동화 규칙을 사용하여 AWS 보안 검색 형식 (ASFF) 에서 선택한 검색 필드를 업데이트할 수 있습니다. 규칙은 새 조사 결과와 업데이트된 조사 결과 모두에 적용됩니다.
사용자 지정 규칙을 처음부터 만들거나 Security Hub에서 제공하는 규칙 템플릿을 사용할 수 있습니다. 규칙 템플릿을 사용하는 경우 사용 사례에 맞게 필요에 따라 수정할 수 있습니다.
자동화 규칙 작동 방식
Security Hub 관리자는 규칙 기준을 정의하여 자동화 규칙을 생성할 수 있습니다. 조사 결과가 정의된 기준과 일치하면 Security Hub는 해당 결과에 규칙 작업을 적용합니다. 사용 가능한 기준 및 작업에 대한 자세한 내용은 사용 가능한 규칙 기준 및 규칙 작업 섹션을 참조하세요.
Security Hub 관리자 계정만 자동화 규칙을 만들고, 삭제하고, 편집하고, 볼 수 있습니다. 관리자가 생성하는 규칙은 관리자 계정 및 모든 구성원 계정의 조사 결과에 적용됩니다. 구성원 계정 ID를 규칙 기준으로 제공함으로써 Security Hub 관리자는 자동화 규칙을 사용하여 조사 결과를 업데이트하거나 특정 구성원 계정의 조사 결과에 대해 조치를 취할 수도 있습니다.
자동화 규칙은 생성된 AWS 리전 위치에만 적용됩니다. 여러 리전에 규칙을 적용하려면 위임된 관리자가 각 리전에 규칙을 생성해야 합니다. 이 작업은 Security Hub 콘솔, Security Hub API 또는 AWS CloudFormation을 통해 수행할 수 있습니다. 다중 리전 배포 스크립트
자동화 규칙으로 인해 결과가 어떻게 변경되었는지에 대한 기록을 보려면 검색 결과 기록 검토 섹션을 참조하세요.
중요
자동화 규칙은 규칙을 만든 후 Security Hub에서 생성하거나 수집하는 신규 및 업데이트된 조사 결과에 적용됩니다. Security Hub는 12~24시간마다 또는 관련 리소스의 상태가 변경될 때마다 컨트롤 조사 결과를 업데이트합니다. 자세한 내용은 보안 검사 실행 일정을 참조하십시오. 자동화 규칙은 제공자가 제공한 원본 검색 필드를 평가합니다. 작업을 통해 규칙을 만든 후 검색 필드를 업데이트해도 규칙이 트리거되지 않습니다. BatchUpdateFindings
Security Hub는 현재 관리자 계정당 최대 100개의 자동화 규칙을 지원합니다.
규칙 순서
자동화 규칙을 생성할 때 각 규칙에 순서를 할당합니다. 이는 Security Hub에서 자동화 규칙을 적용하는 순서를 결정하며, 여러 규칙이 동일한 결과 또는 결과 필드와 관련된 경우 중요해집니다.
여러 규칙 작업이 동일한 결과 또는 결과 필드와 관련된 경우 규칙 순서의 숫자 값이 가장 높은 규칙이 마지막에 적용되어 궁극적인 효과를 발휘합니다.
Security Hub 콘솔에서 규칙을 생성하면 Security Hub는 규칙 생성 순서에 따라 규칙 순서를 자동으로 할당합니다. 가장 최근에 만든 규칙이 규칙 순서 숫자 값이 가장 낮으므로 먼저 적용됩니다. Security Hub는 후속 규칙을 오름차순으로 적용합니다.
Security Hub API 또는 AWS CLI을 통해 규칙을 생성하면 Security Hub는 가장 낮은 수치로 구성된 규칙을 먼저 적용합니다. RuleOrder 그런 다음 다음 규칙을 오름차순으로 적용합니다. 여러 조사 결과에 동일한 RuleOrder가 있는 경우 Security Hub는 UpdatedAt 필드에 이전 값이 있는 규칙을 먼저 적용합니다(즉, 가장 최근에 편집된 규칙이 마지막에 적용됨).
언제든지 규칙 순서를 변경할 수 있습니다.
규칙 순서의 예:
규칙 A(규칙 순서는 1):
-
규칙 A 기준
-
ProductName=Security Hub -
Resources.Type은S3 Bucket -
Compliance.Status=FAILED -
RecordState은NEW -
Workflow.Status=ACTIVE
-
-
규칙 A 작업
-
Confidence이(가)95(으)로 업데이트되었습니다. -
Severity이(가)CRITICAL(으)로 업데이트되었습니다.
-
규칙 B(규칙 순서는 2):
-
규칙 B 기준
-
AwsAccountId=123456789012
-
-
규칙 B 작업
-
Severity이(가)INFORMATIONAL(으)로 업데이트되었습니다.
-
규칙 A 작업은 규칙 A 기준과 일치하는 Security Hub 조사 결과에 먼저 적용됩니다. 다음으로, 규칙 B 작업은 지정된 계정 ID를 가진 Security Hub 조사 결과에 적용됩니다. 이 예에서는 규칙 B가 마지막에 적용되므로 지정된 계정 ID의 조사 결과에서 Severity의 최종 값은 INFORMATIONAL입니다. 규칙 A 작업에 따라 일치하는 조사 결과에서 Confidence의 최종 값은 95입니다.
사용 가능한 규칙 기준 및 규칙 작업
다음 ASFF 필드는 현재 자동화 규칙의 기준으로 지원됩니다.
| ASFF 필드 | 필터 | 필드 유형 |
|---|---|---|
AwsAccountId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
AwsAccountName
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
CompanyName
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ComplianceAssociatedStandardsId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ComplianceSecurityControlId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
ComplianceStatus
|
Is, Is Not
|
Select: [FAILED, NOT_AVAILABLE, PASSED, WARNING] |
Confidence
|
Eq (equal-to), Gte (greater-than-equal), Lte
(less-than-equal)
|
숫자 |
CreatedAt
|
Start, End, DateRange
|
날짜(2022-12-01T21:47:39.269Z 형식) |
Criticality
|
Eq (equal-to), Gte (greater-than-equal), Lte
(less-than-equal)
|
숫자 |
Description
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
FirstObservedAt
|
Start, End, DateRange
|
날짜(2022-12-01T21:47:39.269Z 형식) |
GeneratorId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
Id
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
LastObservedAt
|
Start, End, DateRange
|
날짜(2022-12-01T21:47:39.269Z 형식) |
NoteText
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
NoteUpdatedAt
|
Start, End, DateRange
|
날짜(2022-12-01T21:47:39.269Z 형식) |
NoteUpdatedBy
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
ProductArn
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ProductName
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
RecordState
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
RelatedFindingsId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
RelatedFindingsProductArn
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ResourceApplicationArn
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ResourceApplicationName
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
ResourceDetailsOther
|
CONTAINS, EQUALS, NOT_CONTAINS, NOT_EQUALS
|
맵 |
ResourceId
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
ResourcePartition
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
ResourceRegion
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
ResourceTags
|
CONTAINS, EQUALS, NOT_CONTAINS, NOT_EQUALS
|
맵 |
ResourceType
|
Is, Is Not
|
선택(ASFF에서 지원하는 리소스 참조) |
SeverityLabel
|
Is, Is Not
|
Select: [CRITICAL, HIGH, MEDIUM, LOW, INFORMATIONAL] |
SourceUrl
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
Title
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
문자열 |
Type
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
UpdatedAt
|
Start, End, DateRange
|
날짜(2022-12-01T21:47:39.269Z 형식) |
UserDefinedFields
|
CONTAINS, EQUALS, NOT_CONTAINS, NOT_EQUALS
|
맵 |
VerificationState
|
CONTAINS, EQUALS, PREFIX, NOT_CONTAINS, NOT_EQUALS,
PREFIX_NOT_EQUALS
|
String |
WorkflowStatus
|
Is, Is Not
|
Select: [NEW, NOTIFIED, RESOLVED, SUPPRESSED] |
현재 자동화 규칙에 대한 작업으로 지원되는 ASFF 필드는 다음과 같습니다.
-
Confidence -
Criticality -
Note -
RelatedFindings -
Severity -
Types -
UserDefinedFields -
VerificationState -
Workflow
특정 ASFF 필드에 대한 자세한 내용은 AWS 보안 결과 형식 (ASFF) 구문 및 ASFF 예를 참조하십시오.
작은 정보
Security Hub에서 특정 컨트롤에 대한 조사 결과 생성을 중지하도록 하려면 자동화 규칙을 사용하는 대신 컨트롤을 사용하지 않도록 설정하는 것이 좋습니다. 컨트롤을 사용하지 않도록 설정하면 Security Hub에서 해당 컨트롤에 대한 보안 검사 실행을 중지하고 해당 컨트롤에 대한 조사 결과 생성을 중지하므로 해당 컨트롤에 대한 요금이 발생하지 않습니다. 정의된 기준과 일치하는 조사 결과에 대한 특정 ASFF 필드 값을 변경하려면 자동화 규칙을 사용하는 것이 좋습니다. 컨트롤 비활성화에 대한 자세한 내용은 모든 표준에서 제어 활성화 및 비활성화을 참조하십시오.
자동화 규칙 생성
사용자 지정 규칙을 처음부터 새로 만들거나 미리 채워진 Security Hub 규칙 템플릿을 사용할 수 있습니다.
한 번에 하나의 자동화 규칙만 생성할 수 있습니다. 자동화 규칙을 여러 개 만들려면 콘솔 절차를 여러 번 따르거나 원하는 파라미터를 사용하여 API 또는 명령을 여러 번 직접 호출하십시오.
조사 결과에 규칙을 적용하려는 각 리전 및 계정에서 자동화 규칙을 생성해야 합니다.
Security Hub 콘솔에서 자동화 규칙을 만들면 Security Hub는 규칙이 적용되는 조사 결과의 미리 보기를 표시합니다. 규칙 기준에 CONTAINS 또는 NOT_CONTAINS 필터가 포함된 경우 미리보기는 현재 지원되지 않습니다. 맵 및 문자열 필드 유형에 대해 이러한 필터를 선택할 수 있습니다.
중요
AWS 규칙 이름, 설명 또는 기타 필드에 개인 식별 정보, 기밀 정보 또는 민감한 정보를 포함하지 말 것을 권장합니다.
템플릿에서 규칙 생성(콘솔만 해당)
현재는 Security Hub 콘솔에서만 규칙 템플릿을 지원합니다. 이러한 템플릿은 자동화 규칙의 일반적인 사용 사례를 반영하며 특성을 시작하는 데 도움이 될 수 있습니다. 다음 단계를 완료하여 콘솔의 템플릿에서 자동화 규칙을 생성합니다.
사용자 지정 규칙 생성
원하는 방법을 선택하고 다음 단계를 완료하여 사용자 지정 자동화 규칙을 생성합니다.
자동화 규칙 보기
원하는 방법을 선택하고 단계에 따라 자동화 규칙과 각 규칙의 세부 정보를 확인하십시오.
자동화 규칙 편집
자동화 규칙을 편집하면 규칙 편집 후 Security Hub가 생성하거나 수집한 신규 및 업데이트된 조사 결과에 변경 사항이 적용됩니다.
원하는 방법을 선택하고 단계에 따라 자동화 규칙의 내용을 편집하십시오. 요청 한 번으로 하나 이상의 규칙을 편집할 수 있습니다. 규칙 순서 편집에 대한 지침은 규칙 순서 편집을 참조하십시오.
규칙 순서 편집
경우에 따라 규칙 기준과 작업은 그대로 유지하되 Security Hub에서 자동화 규칙을 적용하는 순서를 변경해야 할 수 있습니다. 원하는 방법을 선택하고 단계에 따라 규칙 순서를 편집합니다.
자동화 규칙 삭제
자동화 규칙을 삭제하면 Security Hub는 계정에서 해당 규칙을 삭제하고 조사 결과에 더 이상 규칙을 적용하지 않습니다.
원하는 방법을 선택하고 단계에 따라 자동화 규칙을 삭제합니다. 단일 요청으로 하나 이상의 규칙을 삭제할 수 있습니다.
작은 정보
규칙을 삭제하는 대신 규칙을 비활성화할 수 있습니다. 이렇게 하면 나중에 사용할 수 있도록 규칙이 유지되지만, Security Hub는 사용자가 사용하도록 활성화하기 전까지는 일치하는 조사 결과에 규칙을 적용하지 않습니다.
자동화 규칙 예
이 단원에는 일반 사용 사례에 대한 몇 가지 자동화 규칙 예가 포함되어 있습니다. 이러한 예는 Security Hub 콘솔의 규칙 템플릿에 해당합니다.
S3 버킷과 같은 특정 리소스가 위험에 처한 경우 심각도를 Critical로 상향 조정합니다.
이 예제에서는 결과의 ResourceId이 특정 Amazon Simple Storage Service(S3) 버킷일 때 규칙 기준을 일치시킵니다. 규칙 작업은 일치하는 조사 결과의 심각도를 CRITICAL로 변경하는 것입니다. 이 템플릿을 수정하여 다른 리소스에 적용할 수 있습니다.
API 요청 예:
{ "IsTerminal":true, "RuleName": "Elevate severity of findings that relate to important resources", "RuleOrder":1, "RuleStatus": "ENABLED", "Description": "Elevate finding severity to", "Criteria": { "ProductName": [{ "Value": "CRITICALwhen specific resource such as an S3 bucket is at riskSecurity Hub", "Comparison": "EQUALS" }], "ComplianceStatus": [{ "Value": "FAILED", "Comparison": "EQUALS" }], "RecordState": [{ "Value": "ACTIVE", "Comparison": "EQUALS" }], "WorkflowStatus": [{ "Value": "NEW", "Comparison": "EQUALS" }], "ResourceId": [{ "Value": "arn:aws:s3:::examplebucket/developers/design_info.doc", "Comparison": "EQUALS" }] }, "Actions": [{ "Type": "FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Severity": { "Label": "CRITICAL" }, "Note": { "Text": "This is a critical resource. Please review ASAP.", "UpdatedBy": "sechub-automation" } } }] }
CLI 명령 예:
aws securityhub create-automation-rule \ --is-terminal \ --rule-name"\ --rule-orderElevate severity of findings that relate to important resources"\ --rule-status1"\ --descriptionENABLED""\ --criteria '{ "ProductName": [{ "Value":Elevate finding severity to"CRITICALwhen specific resource such as an S3 bucket is at risk", "Comparison":Security Hub""}], "ComplianceStatus": [{ "Value":EQUALS"", "Comparison":FAILED""}], "RecordState": [{ "Value":EQUALS"", "Comparison":ACTIVE""}], "WorkflowStatus": [{ "Value":EQUALS"", "Comparison":NEW""}], "ResourceId": [{ "Value":EQUALS""arn:aws:, "Comparison":s3:::examplebucket/developers/design_info.doc""}] }' \ --actions '[{ "Type":EQUALS""FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Severity": { "Label":"}, "Note": { "Text":CRITICAL"", "UpdatedBy":This is a critical resource. Please review ASAP.""} } }]' \ --regionsechub-automation"us-east-1
프로덕션 계정의 리소스와 관련된 조사 결과의 심각도를 상향 조정합니다.
이 예에서는 특정 프로덕션 계정에서 HIGH 심각도 조사 결과가 생성될 때 규칙 기준을 일치시킵니다. 규칙 작업은 일치하는 조사 결과의 심각도를 CRITICAL로 변경하는 것입니다.
API 요청 예:
{ "IsTerminal":false, "RuleName": "Elevate severity for production accounts", "RuleOrder":1, "RuleStatus": "ENABLED", "Description": "Elevate finding severity from", "Criteria": { "ProductName": [{ "Value": "HIGHtoCRITICALfor findings that relate to resources in specific production accountsSecurity Hub", "Comparison": "EQUALS" }], "ComplianceStatus": [{ "Value": "FAILED", "Comparison": "EQUALS" }], "RecordState": [{ "Value": "ACTIVE", "Comparison": "EQUALS" }], "WorkflowStatus": [{ "Value": "NEW", "Comparison": "EQUALS" }], "SeverityLabel": [{ "Value": "HIGH", "Comparison": "EQUALS" }], "AwsAccountId": [ { "Value": "111122223333", "Comparison": "EQUALS" }, { "Value": "123456789012", "Comparison": "EQUALS" }] }, "Actions": [{ "Type": "FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Severity": { "Label": "CRITICAL" }, "Note": { "Text": "A resource in production accounts is at risk. Please review ASAP.", "UpdatedBy": "sechub-automation" } } }] }
CLI 명령 예:
aws securityhub create-automation-rule \ --no-is-terminal \ --rule-name"\ --rule-orderElevate severity of findings that relate to resources in production accounts"\ --rule-status1"\ --descriptionENABLED""\ --criteria '{ "ProductName": [{ "Value":Elevate finding severity from"HIGHtoCRITICALfor findings that relate to resources in specific production accounts", "Comparison":Security Hub""}], "ComplianceStatus": [{ "Value":EQUALS"", "Comparison":FAILED""}], "RecordState": [{ "Value":EQUALS"", "Comparison":ACTIVE""}], "SeverityLabel": [{ "Value":EQUALS"", "Comparison":HIGH""}], "AwsAccountId": [ { "Value":EQUALS"", "Comparison":111122223333""}, { "Value":EQUALS"", "Comparison":123456789012""}] }' \ --actions '[{ "Type":EQUALS""FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Severity": { "Label":"}, "Note": { "Text":CRITICAL"", "UpdatedBy":A resource in production accounts is at risk. Please review ASAP.""} } }]' \ --regionsechub-automation"us-east-1
정보 조사 결과 표시 안 함
이 예시에서는 Amazon에서 Security Hub로 전송한 INFORMATIONAL 심각도 조사 결과와 규칙 기준을 일치시킵니다 GuardDuty. 규칙 작업은 일치하는 조사 결과의 워크플로 상태를 SUPPRESSED로 변경하는 것입니다.
API 요청 예:
{ "IsTerminal":false, "RuleName": "Suppress informational findings", "RuleOrder":1, "RuleStatus": "ENABLED", "Description": "Suppress GuardDuty findings with", "Criteria": { "ProductName": [{ "Value": "INFORMATIONALseverityGuardDuty", "Comparison": "EQUALS" }], "RecordState": [{ "Value": "ACTIVE", "Comparison": "EQUALS" }], "WorkflowStatus": [{ "Value": "NEW", "Comparison": "EQUALS" }], "SeverityLabel": [{ "Value": "INFORMATIONAL", "Comparison": "EQUALS" }] }, "Actions": [{ "Type": "FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Workflow": { "Status": "SUPPRESSED" }, "Note": { "Text": "Automatically suppress GuardDuty findings with", "UpdatedBy": "INFORMATIONALseveritysechub-automation" } } }] }
CLI 명령 예:
aws securityhub create-automation-rule \ --no-is-terminal \ --rule-name"\ --rule-orderSuppress informational findings"\ --rule-status1"\ --descriptionENABLED""\ --criteria '{ "ProductName": [{ "Value":Suppress GuardDuty findings with"INFORMATIONALseverity", "Comparison":GuardDuty""}], "ComplianceStatus": [{ "Value":EQUALS"", "Comparison":FAILED""}], "RecordState": [{ "Value":EQUALS"", "Comparison":ACTIVE""}], "WorkflowStatus": [{ "Value":EQUALS"", "Comparison":NEW""}], "SeverityLabel": [{ "Value":EQUALS"", "Comparison":INFORMATIONAL""}] }' \ --actions '[{ "Type":EQUALS""FINDING_FIELDS_UPDATE", "FindingFieldsUpdate": { "Workflow": { "Status":"}, "Note": { "Text":SUPPRESSED"", "UpdatedBy":Automatically suppress GuardDuty findings with"INFORMATIONALseverity"} } }]' \ --regionsechub-automation"us-east-1
