Controles sugeridos para desactivar en el CSPM de Security Hub - AWSSecurity Hub
Controles que utilizan recursos globalesControles de registro de CloudTrailControles de alarmas de CloudWatch

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Controles sugeridos para desactivar en el CSPM de Security Hub

Recomendamos desactivar algunos controles del CSPM de AWS Security Hub para reducir el ruido de los resultados y los costos de uso.

Controles que utilizan recursos globales

Algunos Servicios de AWS son compatibles con los recursos globales, lo que significa que puede utilizar el recurso desde cualquier Región de AWS. Para ahorrar costos de AWS Config, puede deshabilitar el registro de los recursos globales en todas las regiones, excepto en una. Una vez hecho esto, Security Hub aún ejecutará comprobaciones de seguridad en todas las regiones en las que esté habilitado un control y se cobrará en función de la cantidad de comprobaciones por cuenta y región. En consecuencia, para reducir el ruido de los resultados y disminuir los costos del CSPM de Security Hub, también debe desactivar los controles que involucren recursos globales en todas las regiones, excepto en la región que registra los recursos globales.

Si un control incluye recursos globales, pero solo está disponible en una región, si lo deshabilita en esa región, no podrá obtener resultados para el recurso subyacente. En ese caso, recomendamos que mantenga el control habilitado. Cuando se usa la agregación entre regiones, la región en la que el control se encuentra disponible debe ser la región de agregación o una de las regiones vinculadas. Los siguientes controles involucran recursos globales, pero solo están disponibles en una única región:

  • Todos los controles de CloudFront: disponibles solo en la región este de EE. UU. (Norte de Virginia)

  • GlobalAccelerator.1: disponible solo en la región oeste de EE. UU. (Oregón)

  • Route53.2: disponible solo en la región este de EE. UU. (Norte de Virginia)

  • WAF.1, WAF.6, WAF.7 y WAF.8: disponibles solo en la región este de EE. UU. (Norte de Virginia)

nota

Si usa la configuración centralizada, el CSPM de Security Hub desactiva automáticamente los controles que implican recursos globales en todas las regiones, excepto en la región de origen. Los controles que elija habilitar a través de una política de configuración están habilitados en todas las regiones en las que están disponibles. Para limitar los resultados de estos controles a una sola región, puede actualizar la configuración del registro de AWS Config y desactivar el registro de recursos globales en todas las regiones, excepto en la región de origen.

Si un control habilitado que implica recursos globales no es compatible en la región de origen, el CSPM de Security Hub intenta habilitarlo en una región vinculada donde sí se admita. Con la configuración centralizada, no se obtiene cobertura para un control que no está disponible ni en la región de origen ni en ninguna de las regiones vinculadas.

Para obtener más información acerca de la configuración centralizada, consulte Descripción de la configuración central en el CSPM de Security Hub.

Para los controles cuya programación es de tipo periódica, es necesario desactivarlos en el CSPM de Security Hub para evitar cargos. Establecer el parámetro includeGlobalResourceTypes de AWS Config en false no afecta los controles periódicos del CSPM de Security Hub.

Los siguientes controles del CSPM de Security Hub usan recursos globales:

Controles de registro de CloudTrail

El control CloudTrail.2 evalúa el uso de AWS Key Management Service (AWS KMS) para cifrar los registros de seguimiento de AWS CloudTrail. Si registra estos seguimientos en una cuenta de registro centralizado, debe habilitar este control únicamente en la cuenta y en la Región de AWS donde se realice el registro centralizado.

Si utiliza la configuración centralizada, el estado de habilitación de un control se alinea en la región de origen y en las regiones vinculadas. No puede deshabilitar un control en algunas regiones y habilitarlo en otras. En este caso, puede suprimir los resultados del control CloudTrail.2 para reducir el ruido de los resultados.

Controles de alarmas de CloudWatch

Si prefiere usar Amazon GuardDuty para la detección de anomalías en lugar de las alarmas de Amazon CloudWatch, puede desactivar los siguientes controles, los cuales se enfocan en las alarmas de CloudWatch.