Security Hub 구성 정책 생성 및 연결

위임된 관리자 계정은 AWS Security Hub 구성 정책을 만들고 이를 조직 계정, OU (조직 구성 단위) 또는 루트와 연결할 수 있습니다. 자체 관리형 구성을 계정, OU 또는 루트와 연결할 수도 있습니다.

구성 정책을 처음 생성하는 경우 먼저 Security Hub 구성 정책의 작동 방식 섹션을 검토하는 것이 좋습니다.

원하는 액세스 방법을 선택하고 단계에 따라 구성 정책 또는 자체 관리 구성을 만들고 연결합니다. Security Hub 콘솔을 사용하는 경우 구성을 여러 계정 또는 OU와 동시에 연결할 수 있습니다. Security Hub API 또는 AWS CLI를 사용하는 경우 각 요청에서 하나의 계정 또는 OU에만 구성을 연결할 수 있습니다.

참고

중앙 구성을 사용하는 경우 Security Hub는 홈 지역을 제외한 모든 지역의 글로벌 리소스와 관련된 제어를 자동으로 비활성화합니다. 구성 정책을 통해 사용하도록 선택한 기타 제어 기능은 사용 가능한 모든 지역에서 사용할 수 있습니다. 이러한 컨트롤에 대한 검색 결과를 한 지역으로만 제한하려면 AWS Config 레코더 설정을 업데이트하고 홈 지역을 제외한 모든 지역에서 글로벌 리소스 기록을 끄면 됩니다. 중앙 구성을 사용하면 홈 지역 및 연결된 지역에서 사용할 수 없는 컨트롤에 대한 적용 범위가 부족해집니다. 글로벌 리소스와 관련된 컨트롤 목록은 을 참조하십시오글로벌 리소스를 처리하는 제어.

Security Hub console

구성 정책을 만들고 연결하려면

https://console.aws.amazon.com/securityhub/ 에서 AWS Security Hub 콘솔을 엽니다.

홈 리전에서 Security Hub 위임된 관리자 계정의 보안 인증 정보를 사용하여 로그인합니다.
탐색 창에서 구성 및 정책 탭을 선택합니다. 그런 다음 정책 생성을 선택합니다.
구성 정책을 처음 만들면 조직 구성 페이지의 구성 유형 아래에 세 가지 옵션이 표시됩니다. 구성 정책을 하나 이상 이미 만든 경우 사용자 지정 정책 옵션만 표시됩니다.
- 권장 정책을 사용하려면 전체 조직에 AWS 권장되는 Security Hub 구성 사용을 선택합니다. 권장 정책은 모든 조직 계정에서 Security Hub를 사용하도록 설정하고, AWS 기본 보안 모범 사례 (FSBP) 표준을 사용하도록 설정하고, 모든 신규 및 기존 FSBP 제어를 활성화합니다. 제어는 기본 파라미터 값을 사용합니다.
- 나중에 구성 정책을 만들려면 아직 구성할 준비가 되지 않았음을 선택합니다.
- 사용자 지정 정책을 선택하여 사용자 지정 구성 정책을 생성합니다. Security Hub를 활성화 또는 비활성화할지 여부, 활성화할 표준, 해당 표준에서 활성화할 제어를 지정합니다. 필요에 따라 사용자 지정 파라미터를 지원하는 하나 이상의 활성화된 제어에 대해 사용자 지정 파라미터 값을 지정합니다.
계정 섹션에서 구성 정책을 적용할 대상 계정, OU 또는 루트를 선택합니다.
- 구성 정책을 루트에 적용하려면 모든 계정을 선택합니다. 여기에는 다른 정책이 적용되거나 상속되지 않은 조직 내 모든 계정과 OU가 포함됩니다.
- 구성 정책을 특정 계정 또는 OU에 적용하려면 특정 계정을 선택합니다. 계정 ID를 입력하거나 조직 구조에서 계정 및 OU를 선택합니다. 정책을 생성할 때 최대 15개의 대상 (계정, OU 또는 루트) 에 정책을 적용할 수 있습니다. 더 큰 수를 지정하려면 생성 후 정책을 편집하여 추가 대상에 적용하십시오.
- 구성 정책을 현재 위임된 관리자 계정에 적용하려면 위임된 관리자만을 선택합니다.
다음을 선택합니다.
검토 및 배포 페이지에서 구성 정책 세부 정보를 검토합니다. 그런 다음 정책 생성 및 연결을 선택합니다. 홈 리전 및 연결된 리전에서 이 작업은 이 구성 정책과 연결된 계정의 기존 구성 설정보다 우선 적용됩니다. 계정은 적용 또는 상위 노드로부터의 상속을 통해 구성 정책에 연결될 수 있습니다. 적용된 대상의 하위 계정 및 OU는 특별히 제외되거나, 자체 관리되거나, 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

Security Hub API

구성 정책을 만들고 연결하려면

홈 리전의 Security Hub 위임된 관리자 계정에서 CreateConfigurationPolicy API를 호출합니다.
Name에서 구성 정책의 고유한 이름을 입력합니다. 필요에 따라 Description에서 구성 정책에 대한 설명을 제공할 수 있습니다.
ServiceEnabled 필드에서는 이 구성 정책에서 Security Hub를 활성화 또는 비활성화할지 여부를 지정합니다.
EnabledStandardIdentifiers 필드에서는 이 구성 정책에서 활성화할 Security Hub 표준을 지정합니다.
SecurityControlsConfiguration 개체에서는 이 구성 정책에서 활성화 또는 비활성화하려는 제어를 지정합니다. EnabledSecurityControlIdentifiers를 선택하면 지정된 제어가 활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 비활성화됩니다. DisabledSecurityControlIdentifiers를 선택하면 지정된 제어가 비활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 활성화됩니다.
필요에 따라 파라미터를 사용자 지정하려는 활성화된 제어를 SecurityControlCustomParameters 필드에 지정할 수 있습니다. ValueType 필드에 CUSTOM을 입력하고 Value 필드에 사용자 지정 파라미터 값을 입력합니다. 값은 올바른 데이터 유형이어야 하며 Security Hub에서 지정한 유효한 범위 내에 있어야 합니다. 일부 제어만 사용자 지정 파라미터 값을 지원합니다. 자세한 정보는 사용자 지정 제어 파라미터을 참조하세요.
구성 정책을 계정 또는 OU에 적용하려면 홈 리전의 Security Hub 위임된 관리자 계정에서 StartConfigurationPolicyAssociation API를 호출합니다.
ConfigurationPolicyIdentifier필드에 정책의 Amazon 리소스 이름 (ARN) 또는 범용 고유 식별자 (UUID) 를 제공하십시오. ARN과 UUID는 API에 의해 반환됩니다. CreateConfigurationPolicy 자체 관리형 구성의 경우 ConfigurationPolicyIdentifier 필드는 다음과 같습니다. SELF_MANAGED_SECURITY_HUB
Target 필드에는 이 구성 정책을 적용할 OU, 계정 또는 루트 ID를 입력합니다. API 요청별로 하나의 대상만 입력할 수 있습니다. 선택한 대상의 하위 계정 및 OU는 자체 관리형이거나 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

구성 정책을 생성하기 위한 API 요청 예시:


{
    "Name": "SampleConfigurationPolicy",
    "Description": "Configuration policy for production accounts",
    "ConfigurationPolicy": {
        "SecurityHub": {
             "ServiceEnabled": true,
             "EnabledStandardIdentifiers": [
                    "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0",
                    "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"
                ],
            "SecurityControlsConfiguration": {
                "DisabledSecurityControlIdentifiers": [
                    "CloudTrail.2"
                ],
                "SecurityControlCustomParameters": [
                    {
                        "SecurityControlId": "ACM.1",
                        "Parameters": {
                            "daysToExpiration": {
                                "ValueType": "CUSTOM",
                                "Value": {
                                    "Integer": 15
                                }
                            }
                        }
                    }
                ]
            }
        }
    }
}

구성 정책을 연결하기 위한 API 요청 예시:


{
    "ConfigurationPolicyIdentifier": "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Target": {"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}
}

AWS CLI

구성 정책을 만들고 연결하려면

홈 리전의 Security Hub 위임된 관리자 계정에서 create-configuration-policy 명령을 실행합니다.
name에서 구성 정책의 고유한 이름을 입력합니다. 필요에 따라 description에서 구성 정책에 대한 설명을 제공할 수 있습니다.
ServiceEnabled 필드에서는 이 구성 정책에서 Security Hub를 활성화 또는 비활성화할지 여부를 지정합니다.
EnabledStandardIdentifiers 필드에서는 이 구성 정책에서 활성화할 Security Hub 표준을 지정합니다.
SecurityControlsConfiguration 필드에서는 이 구성 정책에서 활성화 또는 비활성화하려는 제어를 지정합니다. EnabledSecurityControlIdentifiers를 선택하면 지정된 제어가 활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 비활성화됩니다. DisabledSecurityControlIdentifiers를 선택하면 지정된 제어가 비활성화됩니다. 활성화된 표준에 적용되는 다른 제어(새로 릴리스된 제어 포함)는 활성화됩니다.
필요에 따라 파라미터를 사용자 지정하려는 활성화된 제어를 SecurityControlCustomParameters 필드에 지정할 수 있습니다. ValueType 필드에 CUSTOM을 입력하고 Value 필드에 사용자 지정 파라미터 값을 입력합니다. 값은 올바른 데이터 유형이어야 하며 Security Hub에서 지정한 유효한 범위 내에 있어야 합니다. 일부 제어만 사용자 지정 파라미터 값을 지원합니다. 자세한 정보는 사용자 지정 제어 파라미터을 참조하세요.
구성 정책을 계정 또는 OU에 적용하려면 홈 리전의 Security Hub 위임된 관리자 계정에서 start-configuration-policy-association 명령을 실행합니다.
configuration-policy-identifier 필드에는 구성 정책의 Amazon 리소스 이름(ARN) 또는 ID를 입력합니다. 이 ARN과 ID는 create-configuration-policy 명령에 의해 반환됩니다.
target 필드에는 이 구성 정책을 적용할 OU, 계정 또는 루트 ID를 입력합니다. 명령을 실행할 때마다 하나의 대상만 입력할 수 있습니다. 선택한 대상의 하위 항목은 자체 관리형이거나 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

구성 정책을 만들기 위한 명령 예시:


aws securityhub --region us-east-1 create-configuration-policy \
--name "SampleConfigurationPolicy" \
--description "Configuration policy for production accounts" \
--configuration-policy '{"SecurityHub": {"ServiceEnabled": true, "EnabledStandardIdentifiers": ["arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0","arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"],"SecurityControlsConfiguration":{"DisabledSecurityControlIdentifiers": ["CloudTrail.2"], "SecurityControlCustomParameters": [{"SecurityControlId": "ACM.1", "Parameters": {"daysToExpiration": {"ValueType": "CUSTOM", "Value": {"Integer": 15}}}}]}}}'

구성 정책을 연결하기 위한 명령 예시:


aws securityhub --region us-east-1 start-configuration-policy-association \
--configuration-policy-identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--target '{"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}'

StartConfigurationPolicyAssociation API는 AssociationStatus라는 필드를 반환합니다. 이 필드는 정책 연결이 보류 중인지 또는 성공 또는 실패 상태인지를 알려줍니다. PENDING에서 SUCCESS 또는 FAILURE로 상태가 변경되려면 최대 24시간이 걸릴 수 있습니다. 연결 상태에 대한 자세한 내용은 구성의 연결 상태 섹션을 참조하세요.

javascript가 브라우저에서 비활성화되거나 사용이 불가합니다.

AWS 설명서를 사용하려면 Javascript가 활성화되어야 합니다. 지침을 보려면 브라우저의 도움말 페이지를 참조하십시오.

문서 규칙

구성 정책의 작동 방식

구성 정책 보기