Como o Security Hub usa AWS Config regras para executar verificações de segurança

Para executar verificações de segurança nos recursos do seu ambiente, AWS Security Hub use etapas especificadas pelo padrão ou use AWS Config regras específicas. Algumas regras são regras gerenciadas, que são gerenciadas por AWS Config. Outras regras são regras personalizadas que o Security Hub desenvolve.

AWS Config as regras que o Security Hub usa para controles são chamadas de regras vinculadas ao serviço, porque são habilitadas e controladas pelo serviço do Security Hub.

Para habilitar a verificação dessas AWS Config regras, você deve primeiro ativar AWS Config sua conta e ativar o registro de recursos para os recursos necessários. Para obter informações sobre como habilitar AWS Config, consulteConfigurando AWS Config. Para obter informações sobre gravações de recursos necessárias, consulte AWS Config recursos necessários para gerar resultados de controle.

Como o Security Hub gera regras vinculadas ao serviço

Para cada controle que usa uma regra AWS Config vinculada ao serviço, o Security Hub cria instâncias das regras necessárias em seu AWS ambiente.

Essas regras vinculadas ao serviço são específicas do Security Hub. Ele cria essas regras vinculadas ao serviço mesmo se outras instâncias das mesmas regras já existirem. A regra vinculada ao serviço adiciona securityhub antes do nome da regra original e um identificador exclusivo após o nome da regra. Por exemplo, para a regra AWS Config gerenciada originalvpc-flow-logs-enabled, o nome da regra vinculada ao serviço seria algo como. securityhub-vpc-flow-logs-enabled-12345

Há limites no número de AWS Config regras que podem ser usadas para avaliar os controles. AWS Config As regras personalizadas criadas pelo Security Hub não contam para esse limite. Você pode ativar um padrão de segurança mesmo que já tenha atingido o AWS Config limite de regras gerenciadas em sua conta. Para saber mais sobre os limites das AWS Config regras, consulte Limites de serviço no Guia do AWS Config desenvolvedor.

Visualizando detalhes sobre as regras AWS Config para controles

Para controles que usam regras AWS Config gerenciadas, a descrição do controle inclui um link para os detalhes da AWS Config regra. As regras personalizadas não estão vinculadas à descrição do controle. Para obter descrições de controle, consulte Referência de controles do Security Hub. Selecione um controle na lista para ver sua descrição.

Para descobertas geradas a partir desses controles, os detalhes da descoberta incluem um link para a AWS Config regra associada. Observe que, para navegar até a AWS Config regra a partir da busca de detalhes, você também deve ter uma permissão do IAM na conta selecionada para acessar AWS Config.

Os detalhes da descoberta na página Descobertas, na página Insights e na página Integrações incluem um link de Regras para os detalhes da regra AWS Config . Consulte Analisando os detalhes da descoberta.

Na página de detalhes do controle, a coluna Investigar da lista de descobertas contém um link para os detalhes da AWS Config regra. Consulte Visualizando a AWS Config regra para um recurso de busca.