비활성화할 수 있는 Security Hub 제어 - AWS Security Hub
글로벌 리소스를 처리하는 제어 CloudTrail 로깅을 처리하는 컨트롤경보를 처리하는 CloudWatch 컨트롤

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

비활성화할 수 있는 Security Hub 제어

노이즈 감지를 줄이고 비용을 제한하려면 일부 AWS Security Hub 컨트롤을 비활성화하는 것이 좋습니다.

글로벌 리소스를 처리하는 제어

일부는 글로벌 리소스를 AWS 서비스 지원하므로 어느 곳에서나 AWS 리전리소스에 액세스할 수 있습니다. 비용을 절약하기 위해 한 지역을 제외한 모든 지역의 글로벌 리소스 기록을 비활성화할 수 있습니다. AWS Config이렇게 한 후에도 Security Hub는 제어가 활성화된 모든 리전에서 보안 검사를 계속 실행하고 리전별 계정당 검사 횟수에 따라 요금을 부과합니다. 따라서 노이즈 탐지를 줄이고 Security Hub 비용을 절약하려면 글로벌 리소스를 기록하는 지역을 제외한 모든 지역의 글로벌 리소스를 포함하는 컨트롤도 비활성화해야 합니다.

컨트롤에 글로벌 리소스가 포함되지만 한 지역에서만 사용할 수 있는 경우 해당 지역에서 컨트롤을 사용하지 않도록 설정하면 기본 리소스에 대한 검색 결과를 얻을 수 없습니다. 이 경우 컨트롤을 활성화된 상태로 유지하는 것이 좋습니다. 지역 간 집계를 사용하는 경우 컨트롤을 사용할 수 있는 지역은 집계 지역 또는 연결된 지역 중 하나여야 합니다. 다음 컨트롤에는 글로벌 리소스가 포함되지만 단일 지역에서만 사용할 수 있습니다.

  • 모든 CloudFront 제어 — 미국 동부 (버지니아 북부) 에서만 사용 가능

  • GlobalAccelerator.1 — 미국 서부 (오레곤) 에서만 사용 가능

  • Route53.2 — 미국 동부 (버지니아 북부) 에서만 이용 가능

  • WAF.1, WAF.6, WAF.7 및 WAF.8 — 미국 동부 (버지니아 북부) 에서만 사용 가능

참고

중앙 구성을 사용하는 경우 Security Hub는 홈 지역을 제외한 모든 지역의 글로벌 리소스와 관련된 제어를 자동으로 비활성화합니다. 구성 정책을 통해 사용하도록 선택한 기타 제어 기능은 사용 가능한 모든 지역에서 사용할 수 있습니다. 이러한 컨트롤에 대한 검색 결과를 한 지역으로만 제한하려면 AWS Config 레코더 설정을 업데이트하고 홈 지역을 제외한 모든 지역에서 글로벌 리소스 기록을 끄면 됩니다. 중앙 구성을 사용하면 홈 지역 및 연결된 지역에서 사용할 수 없는 컨트롤에 대한 적용 범위가 부족해집니다. 중앙 구성에 대한 자세한 내용은 중앙 구성 작동 방식 섹션을 참조하세요.

주기적 일정 유형의 제어의 경우 청구를 방지하려면 Security Hub에서 이를 비활성화해야 합니다. AWS Config 매개변수를 includeGlobalResourceTypes 로 설정해도 주기적인 Security Hub 제어에는 영향을 false 주지 않습니다.

다음은 글로벌 리소스와 관련된 Security Hub 컨트롤 목록입니다.

CloudTrail 로깅을 처리하는 컨트롤

이 컨트롤은 AWS Key Management Service (AWS KMS) 를 사용하여 AWS CloudTrail 트레일 로그를 암호화하는 작업을 처리합니다. 중앙 집중식 로깅 계정에 이러한 추적을 기록하는 경우 중앙 집중식 로깅이 수행되는 계정 및 리전에서만 이 제어를 활성화하면 됩니다.

참고

중앙 구성을 사용하는 경우 제어의 활성화 상태를 홈 리전 및 연결된 리전 전체에 걸쳐 조정합니다. 일부 리전에서는 제어를 비활성화하고 다른 리전에서는 활성화할 수 없습니다. 이 경우 다음 제어에서 결과를 표시하지 않도록 하여 검색 노이즈를 줄이세요.

경보를 처리하는 CloudWatch 컨트롤

예외 항목 탐지에 Amazon GuardDuty CloudWatch 경보 대신 Amazon을 사용하려는 경우 경보에 초점을 맞춘 이러한 제어를 비활성화할 수 있습니다. CloudWatch