Terminologia e conceitos - Security Hub da AWS

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Terminologia e conceitos

Este tópico descreve os principais conceitos no Security Hub AWS para ajudar você a começar.

Conta

Conta padrão da Amazon Web Services (AWS) que contém seus recursos da AWS. Você pode fazer login na AWS com sua conta e habilitar o Security Hub.

Uma conta pode convidar outras contas para habilitar o Security Hub e se associar a essa conta no Security Hub. Aceitar um convite de associação é opcional. Se os convites forem aceitos, a conta se torna uma conta de administrador e as contas adicionadas serão contas de membro. As contas de administrador podem ver as descobertas em suas contas de membro.

Se você estiver inscrito no AWS Organizations, sua organização designará uma conta de administrador do Security Hub para a organização. A conta de administrador do Security Hub pode habilitar outras contas da organização como contas de membro.

Uma conta não pode ser uma conta de administrador e uma conta-membro ao mesmo tempo. Uma conta só pode ter uma conta de administrador.

Para obter mais informações, consulte Gerenciar contas de administrador e membro.

Conta de administrador

Uma conta no Security Hub com acesso para visualizar as descobertas das contas de membro associadas.

Uma conta se torna uma conta de administrador de uma das seguintes maneiras:

  • A conta convida outras contas a se associarem a ela no Security Hub. Quando essas contas aceitam o convite, elas se tornam contas de membro e a conta que enviou o convite se torna sua conta de administrador.

  • A conta é designada por uma conta de gerenciamento da organização como a conta de administrador do Security Hub. A conta de administrador do Security Hub pode habilitar qualquer conta da organização como uma conta-membro e pode convidar outras contas para serem contas de membro.

Uma conta só pode ter uma conta de administrador. Uma conta não pode ser uma conta de administrador e uma conta-membro ao mesmo tempo.

Região de agregação

Definir uma região de agregação permite que você visualize as descobertas de segurança de várias Regiões da AWS em um único painel de controle.

A região de agregação é a região a partir da qual você visualiza e gerencia as descobertas. As descobertas são agregadas à região de agregação das regiões vinculadas. As atualizações das descobertas são replicadas em todas as regiões.

Na região de agregação, as páginas Padrões de segurança, Insights e Descobertas incluem dados de todas as regiões vinculadas.

Consulte Agregação entre regiões.

Descoberta arquivada

Uma descoberta que tem um RecordState definido como ARCHIVED. O arquivamento de uma descoberta indica que o provedor da descoberta acredita que ela não é mais relevante. O estado do registro é separado do status do fluxo de trabalho, que rastreia o status de uma investigação em uma descoberta.

Os provedores de descobertas podem usar a operação BatchImportFindings da API do Security Hub para arquivar as descobertas que eles criaram. O Security Hub arquivará automaticamente descobertas de controles se o controle for desabilitado ou se o recurso associado for excluído, com base em um dos critérios a seguir.

  • A descoberta não é atualizada em três a cinco dias (observe que esse é a melhor tentativa e não é garantida).

  • A avaliação associada do AWS Config retornou NOT_APPLICABLE.

Por padrão, as descobertas arquivadas são excluídas das listas de descobertas no console do Security Hub. É possível atualizar o filtro para incluir descobertas arquivadas.

A operação GetFindings da API do Security Hub retorna tanto descobertas ativas como arquivadas. Você pode incluir um filtro para o estado do registro.

"RecordState": [ { "Comparison": "EQUALS", "Value": "ARCHIVED" } ],
Formato de descoberta de segurança da AWS (ASFF)

Um formato padronizado para o conteúdo de descobertas que o Security Hub agrega ou gera. O Formato de descoberta de segurança da AWS permite que você use o Security Hub para visualizar e analisar as descobertas que são geradas por serviços de segurança da AWS, por soluções de terceiros ou pelo próprio Security Hub ao executar verificações de segurança. Para obter mais informações, consulte Formato de descoberta de segurança da AWS (ASFF).

Controle

Uma proteção ou contramedida prescrita para um sistema de informações ou uma organização projetada para proteger a confidencialidade, integridade e disponibilidade de suas informações e para atender a um conjunto de requisitos de segurança definidos. Um padrão de segurança está associado a uma coleção de controles.

O termo controle de segurança se refere aos controles que têm um único ID e título de controle em todos os padrões. O termo controle padrão se refere aos controles que têm IDs e títulos de controle específicos do padrão. Atualmente, o Security Hub só é compatível com controles padrão nas regiões da AWS GovCloud (US) Region e da China. Os controles de segurança são compatíveis com em todas as outras regiões.

Ação personalizada

Um mecanismo do Security Hub para enviar descobertas selecionadas ao EventBridge. Uma ação personalizada é criada no Security Hub. Em seguida, ele é vinculado a uma regra do EventBridge. A regra define uma ação específica a ser realizada quando for recebida uma descoberta associada ao ID da ação personalizada. As ações personalizadas podem ser usadas, por exemplo, para enviar uma descoberta específica ou um conjunto pequeno de descobertas a um fluxo de trabalho de resposta ou de correção. Para obter mais informações, consulte Criar uma ação personalizada (console).

Conta de administrador delegado (Organizations)

Em Organizations, a conta de administrador delegado de um serviço é capaz de gerenciar o uso de um serviço para a organização.

No Security Hub, a conta de administrador do Security Hub também é a conta de administrador delegado do Security Hub. Quando a conta de gerenciamento da organização designa pela primeira vez uma conta de administrador do Security Hub, ele designa o Organizations para tornar essa conta a conta de administrador delegado.

A conta de gerenciamento da organização deve então escolher a conta de administrador delegado como a conta de administrador do Security Hub em todas as regiões.

Descoberta

O registro observável de uma verificação de segurança ou detecção relacionada à segurança. O Security Hub gera uma descoberta após concluir uma verificação de segurança de um controle. Elas são chamadas de descobertas de controle. As descobertas também podem vir de integrações de produtos de terceiros.

Para mais informações sobre descobertas no Security Hub, consulte Descobertas no AWS Security Hub.

nota

As descobertas são excluídas 90 dias após a atualização mais recente ou 90 dias após a data de criação, se não ocorrer nenhuma atualização. Para armazenar descobertas por mais de 90 dias, você pode configurar uma regra no EventBridge que direciona as descobertas para o bucket do seu Amazon S3.

Agregação entre regiões

A agregação de descobertas, insights, status de conformidade de controle e pontuações de segurança de regiões vinculadas a uma região de agregação. Em seguida, você pode visualizar todos os seus dados da região de agregação e atualizar as descobertas e insights dessa região.

Consulte Agregação entre regiões.

Descoberta de ingestão

A importação de descobertas para o Security Hub de outros serviços da AWS e de fornecedores parceiros terceirizados.

A descoberta de eventos de ingestão inclui novas descobertas e atualizações das descobertas existentes.

Insight

Uma coleção de descobertas relacionadas definidas por uma instrução de agregação e filtros opcionais. Um insight identifica uma área de segurança que requer atenção e intervenção. O Security Hub oferece vários insights gerenciados (padrão) que você não pode modificar. Você também pode criar insights personalizados do Security Hub para rastrear problemas de segurança que são exclusivos para seu ambiente e uso da AWS. Para obter mais informações, consulte Insights no AWS Security Hub.

Região vinculada

Quando você ativa a agregação entre regiões, uma região vinculada é aquela que agrega descobertas, insights, status de conformidade de controle e pontuações de segurança à região de agregação.

Em uma região vinculada, as páginas Descobertas e Insights contêm descobertas somente dessa região.

Consulte Agregação entre regiões.

Conta-membro

Uma conta que concedeu permissão a uma conta de administrador para visualizar e agir de acordo com suas descobertas.

Uma conta se torna uma conta-membro de uma das seguintes maneiras:

  • A conta aceita um convite de outra conta.

  • Para uma conta de organização, a conta de administrador do Security Hub habilita a conta como uma conta-membro.

Requisitos relacionados

Um conjunto de requisitos normativos ou do setor que são mapeados para um controle.

Regra

Um conjunto de critérios automatizados que é usado para avaliar se um controle está sendo cumprido. Quando uma regra é avaliada, ela pode ser aprovada ou reprovada. Se a avaliação não puder determinar se a regra será aprovada ou reprovada, a regra estará em um estado de aviso. Se não for possível avaliar a regra, ela estará em um estado indisponível.

Verificação de segurança

Uma avaliação point-in-time específica de uma regra em relação a um único recurso, resultando em um estado aprovado, com falha, com aviso ou indisponível. Executar uma verificação de segurança produz uma descoberta.

Conta de administrador do Security Hub

Uma conta da organização que gerencia a associação ao Security Hub de uma organização.

A conta de gerenciamento da organização designa a conta de administrador do Security Hub em cada região. A conta de gerenciamento da organização deve escolher a mesma conta de administrador do Security Hub em todas as regiões.

A conta de administrador do Security Hub também é a conta de administrador delegado do Security Hub no Organizations.

A conta de administrador do Security Hub pode habilitar outras contas da organização como sendo contas de membro. A conta de administrador do Security Hub também pode convidar outras contas para serem contas membros.

Padrão de segurança

Uma instrução publicada em um tópico especificando as características, geralmente mensuráveis e na forma de controles, que devem ser atendidas ou atingidas para estar em conformidade. Os padrões de segurança podem ser baseados em estruturas regulatórias, melhores práticas ou políticas internas da empresa. Um controle pode estar associado a um ou mais padrões compatíveis no Security Hub. Para saber mais sobre padrões de segurança no Security Hub, consulte Controles e padrões de segurança no AWS Security Hub.

Gravidade

A severidade atribuída a um controle do Security Hub identifica a importância do controle. A severidade de um controle pode ser Crítica, Alta, Média, Baixa ou Informativa. A severidade atribuída às descobertas de controle é igual à severidade do controle em si. Para saber como o Security Hub atribui severidade a um controle, consulte Atribuir severidade às descobertas de controle.

Status do fluxo de trabalho

O status de uma investigação sobre uma descoberta. Rastrear usando o atributo Workflow.Status.

O status do fluxo de trabalho é inicialmente NEW. Se você notificou o proprietário do recurso para executar uma ação na descoberta, poderá definir o status do fluxo de trabalho como NOTIFIED. Se a descoberta não for um problema e não exigir nenhuma ação, defina o status do fluxo de trabalho como SUPPRESSED. Depois de revisar e corrigir uma descoberta, defina o status do fluxo de trabalho como RESOLVED.

Por padrão, a maioria das listas de descobertas inclui apenas descobertas com o status de fluxo de trabalho NEW ou NOTIFIED. As listas de descobertas para controles também incluem descobertas RESOLVED.

Para a operação GetFindings, é possível incluir um filtro para o status de fluxo de trabalho.

"WorkflowStatus": [ { "Comparison": "EQUALS", "Value": "RESOLVED" } ],

O console do Security Hub fornece uma opção para definir o status do fluxo de trabalho para descobertas. Os clientes (ou SIEM, emissão de tíquetes, gerenciamento de incidentes ou ferramentas SOAR que funcionam em nome de um cliente para atualizar as descobertas dos provedores de descobertas) também podem usar BatchUpdateFindings para atualizar o status de fluxo de trabalho.