Padrão gerenciado por serviços: AWS Control Tower - AWS Security Hub
O que é o Service-Managed Standard:? AWS Control TowerCriando o padrãoAtivando e desativando controles no padrãoVisualizando o status da habilitação e o status do controleExcluindo o padrãoLocalizando o formato de campo para o Service-Managed Standard: AWS Control TowerControles que se aplicam ao padrão gerenciado por serviços: AWS Control Tower

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Padrão gerenciado por serviços: AWS Control Tower

Esta seção fornece informações sobre o Service-Managed Standard:. AWS Control Tower

O que é o Service-Managed Standard:? AWS Control Tower

Esse padrão foi desenvolvido para usuários do AWS Security Hub AWS Control Tower e. Ele permite que você configure os controles proativos AWS Control Tower junto com os controles de detetive do Security Hub no AWS Control Tower serviço.

Os controles proativos ajudam a garantir que você Contas da AWS mantenha a conformidade, pois sinalizam ações que podem levar a violações de políticas ou configurações incorretas. Os controles de detetive detectam a não conformidade de recursos (por exemplo, configurações incorretas) em sua Contas da AWS. Ao habilitar controles proativos e detectivos para seu AWS ambiente, você pode aprimorar sua postura de segurança em diferentes estágios de desenvolvimento.

dica

Os padrões gerenciados por serviços diferem dos padrões gerenciados pelo AWS Security Hub. Por exemplo, você deve criar e excluir um padrão gerenciado por serviços no serviço de gerenciamento. Para ter mais informações, consulte Padrões gerenciados por serviços.

No console e na API do Security Hub, você pode ver o Service-Managed Standard: AWS Control Tower junto com outros padrões do Security Hub.

Criando o padrão

Esse padrão estará disponível somente se você criar o padrão em AWS Control Tower. AWS Control Tower cria o padrão quando você ativa pela primeira vez um controle aplicável usando um dos seguintes métodos:

Os controles do Security Hub são identificados no AWS Control Tower console como SH. ControlID (por exemplo, SH. CodeBuild.1).

Ao criar o padrão, se você ainda não tiver habilitado o Security Hub, AWS Control Tower também habilita o Security Hub para você.

Se você não tiver configurado AWS Control Tower, não poderá visualizar ou acessar esse padrão no console do Security Hub, na API do Security Hub ou AWS CLI. Mesmo que você tenha configurado AWS Control Tower, não poderá visualizar ou acessar esse padrão no Security Hub sem primeiro criar o padrão AWS Control Tower usando um dos métodos anteriores.

Esse padrão só está disponível Regiões da AWS onde AWS Control Tower está disponível, inclusive AWS GovCloud (US).

Ativando e desativando controles no padrão

Depois de criar o padrão no AWS Control Tower console, você pode ver o padrão e seus controles disponíveis nos dois serviços.

Depois de criar o padrão pela primeira vez, ele não tem nenhum controle ativado automaticamente. Além disso, quando o Security Hub adiciona novos controles, eles não são habilitados automaticamente para o Service-Managed Standard:. AWS Control Tower Você deve ativar e desativar os controles para o padrão in AWS Control Tower usando um dos seguintes métodos:

Quando você altera o status de habilitação de um controle em AWS Control Tower, a alteração também é refletida no Security Hub.

No entanto, desabilitar um controle no Security Hub que está ativado AWS Control Tower resulta em desvio de controle. O status do controle em é AWS Control Tower exibido comoDrifted. Você pode resolver esse desvio selecionando Registrar novamente a OU no AWS Control Tower console ou desativando e reativando o controle AWS Control Tower usando um dos métodos anteriores.

A conclusão das ações de ativação e desativação AWS Control Tower ajuda a evitar desvios de controle.

Quando você ativa ou desativa os controles em AWS Control Tower, a ação se aplica a todas as contas e regiões. Se você ativar e desativar os controles no Security Hub (não recomendado para esse padrão), a ação se aplicará somente à conta atual e à região.

nota

A configuração central não pode ser usada para gerenciar o Service-Managed Standard:. AWS Control Tower Se você usar a configuração central, poderá usar somente o AWS Control Tower serviço para ativar e desativar os controles desse padrão para uma conta gerenciada centralmente.

Visualizando o status da habilitação e o status do controle

Você pode exibir o status de habilitação de um controle usando um dos métodos a seguir:

  • Console do Security Hub, API do Security Hub ou AWS CLI

  • AWS Control Tower console

  • AWS Control Tower API para ver uma lista de controles habilitados (chame a ListEnabledControlsAPI)

  • AWS CLI para ver uma lista de controles habilitados (execute o list-enabled-controlscomando)

Um controle que você desabilita AWS Control Tower tem um status de habilitação Disabled no Security Hub, a menos que você habilite explicitamente esse controle no Security Hub.

O Security Hub calcula o status do controle com base no status do fluxo de trabalho e no status de conformidade das descobertas de controle. Para obter mais informações sobre o status de habilitação e o status de controle, consulte Visualizar detalhes de um controle.

Com base nos status de controle, o Security Hub calcula uma pontuação de segurança para o Service-Managed Standard:. AWS Control Tower Essa pontuação só está disponível no Security Hub. Além disso, você só pode visualizar as descobertas de controle no Security Hub. A pontuação de segurança padrão e as descobertas de controle não estão disponíveis em AWS Control Tower.

nota

Quando você ativa controles para Service-Managed Standard: AWS Control Tower, o Security Hub pode levar até 18 horas para gerar descobertas para controles que usam uma regra vinculada ao AWS Config serviço existente. Você pode ter regras vinculadas a serviços existentes se tiver habilitado outros padrões e controles no Security Hub. Para ter mais informações, consulte Programar a execução de verificações de segurança.

Excluindo o padrão

Você pode excluir esse padrão AWS Control Tower desativando todos os controles aplicáveis usando um dos seguintes métodos:

A desativação de todos os controles exclui o padrão em todas as contas gerenciadas e regiões governadas no AWS Control Tower. A exclusão do padrão em o AWS Control Tower remove da página Padrões do console do Security Hub, e você não pode mais acessá-lo usando a API do Security Hub ou AWS CLI.

nota

Desabilitar todos os controles do padrão no Security Hub não desativa nem exclui o padrão.

A desativação do serviço Security Hub remove o Service-Managed Standard: AWS Control Tower e quaisquer outros padrões que você tenha habilitado.

Localizando o formato de campo para o Service-Managed Standard: AWS Control Tower

Ao criar o Service-Managed Standard: AWS Control Tower e habilitar controles para ele, você começará a receber descobertas de controle no Security Hub. O Security Hub relata as descobertas de controle no AWS Formato de descoberta de segurança (ASFF). Esses são os valores ASFF para o nome do recurso da Amazon (ARN) desse padrão e GeneratorId:

  • ARN padrão: arn:aws:us-east-1:securityhub:::standards/service-managed-aws-control-tower/v/1.0.0

  • GeneratorId – service-managed-aws-control-tower/v/1.0.0/CodeBuild.1

Para obter um exemplo de descoberta do Service-Managed Standard: AWS Control Tower, consulte. Exemplo de descobertas de controle

Controles que se aplicam ao padrão gerenciado por serviços: AWS Control Tower

Padrão gerenciado por serviços: AWS Control Tower suporta um subconjunto de controles que fazem parte do padrão AWS Foundational Security Best Practices (FSBP). Escolha um controle na tabela a seguir para ver informações sobre ele, incluindo etapas de correção para descobertas malsucedidas.

A lista a seguir mostra os controles disponíveis para o Service-Managed Standard:. AWS Control Tower Os limites regionais dos controles correspondem aos limites regionais dos controles corolários no padrão FSBP. Essa lista mostra IDs de controle de segurança independentes do padrão. No AWS Control Tower console, os IDs de controle são formatados como SH. ControlID (por exemplo, SH). CodeBuild.1). No Security Hub, se as descobertas de controle consolidadas estiverem desativadas em sua conta, o campo ProductFields.ControlId usará o ID de controle baseado em padrão. O ID de controle baseado em padrões é formatado como CT. ControlId(por exemplo, CT. CodeBuild.1).

Para obter mais informações sobre esse padrão, consulte controles do Security Hub no Guia do usuário do AWS Control Tower .