Regras de automação no Security Hub

nota

O Security Hub está em versão prévia e está sujeito a alterações.

As regras de automação do Security Hub são uma versão mais extensível e configurável das regras de automação CSPM do Security Hub. O Security Hub evoluiu de um sistema de automação específico de localização para uma plataforma de configuração mais ampla. Enquanto o Security Hub CSPM suporta ASFF, o Security Hub introduz suporte para OCSF e estabelece uma base para mais configurações. Um dos principais recursos das regras de automação do Security Hub é sua integração com a configuração do agregador. Isso oferece a capacidade de ajustar e implantar granularmente as configurações em um conjunto de configurações vinculadas, Regiões da AWS mantendo a flexibilidade de configurar a experiência regional por meio da desvinculação, uma por uma. Regiões da AWS

Os recursos do Security Hub em sua Conta da AWS mão Região da AWS, incluindo regras de automação, conectores e agregadores, deixarão de funcionar nos cenários abaixo.

• O autônomo Conta da AWS se torna membro de uma AWS organização com um administrador delegado

• A conta de gerenciamento da AWS organização remove o administrador delegado da organização e define um novo administrador delegado

• A configuração do agregador do administrador delegado ou autônomo Conta da AWS é alterada para tornar uma região desvinculada uma região vinculada

Nesses cenários, a conta do membro ainda pode gerenciar esses recursos por meio de operações de listar, obter e excluir AWS CLI apenas. Quando uma região desvinculada é transformada em região vinculada, o administrador delegado ou a AWS conta autônoma ainda pode gerenciar os recursos antigos em uma região vinculada por meio de operações de lista, obtenção e exclusão.

Principais aprimoramentos

As regras de automação no CSPM do Security Hub são regionais e se aplicam somente às descobertas no Regiões da AWS local em que foram criadas. As regras de automação no Security Hub podem ser configuradas uma vez em uma Região da AWS (região de agregação) e depois aplicadas em todas as configurações Regiões da AWS (regiões vinculadas) por meio da configuração do Aggregator V2. Um benefício desse recurso é a capacidade de automatizar e corrigir as descobertas de segurança em várias Regiões da AWS apenas configurando uma. Região da AWS Isso significa que, se uma descoberta for gerada em uma região vinculada, ela poderá ser corrigida automaticamente com base na configuração da região de agregação.

Integração externa

As regras de automação no Security Hub oferecem suporte a um tipo de ação para a criação de tíquetes ITSM. Isso permite que os clientes encaminhem descobertas selecionadas do OCSF diretamente para uma ou mais integrações de ITSM configuradas. Se uma descoberta do OCSF corresponder aos critérios, você poderá criar um ticket em Jira Cloud ou. ServiceNow ITSM Para obter mais informações, consulte Integrações de terceiros para o Security Hub.

Critérios suportados pelo OCSF

O CSPM do Security Hub suporta a avaliação dos campos do ASFF nas descobertas, enquanto o Security Hub combina os campos do OCSF. Por exemplo, o conjunto de filtros compatíveis com o Criteria parâmetro usado nas regras de automação V2 corresponde ao conjunto de filtros compatíveis com o Criteria parâmetro usado em GetFindingsV2. Isso significa que os filtros usados para recuperar as descobertas da V2 podem ser usados em uma regra de automação da V2 que corresponda às descobertas.

Campos OCSF para o AutomationRulesFindingFieldsUpdate

A lista de campos que podem ser atualizados AutomationRulesFindingFieldsUpdateno CSPM do Security Hub foi alterada no Security Hub. Para AutomationRulesFindingFieldsUpdateV2a lista de campos que podem ser atualizados, inclua o seguinte:

• Comment

• SeverityId

• StatusId