Controles sugeridos para deshabilitar en Security Hub (CSPM) - AWS Security Hub
Controles que utilizan recursos globalesCloudTrail controles de registroCloudWatch controles de alarma

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Controles sugeridos para deshabilitar en Security Hub (CSPM)

Recomendamos deshabilitar algunos controles de gestión de AWS la postura de seguridad (CSPM) de Security Hub Cloud para reducir el ruido de búsqueda y los costes de uso.

Controles que utilizan recursos globales

Algunos son Servicios de AWS compatibles con recursos globales, lo que significa que puede acceder al recurso desde cualquier lugar. Región de AWS Para ahorrar costes AWS Config, puedes desactivar el registro de los recursos globales en todas las regiones excepto en una. Sin embargo, una vez hecho esto, Security Hub CSPM seguirá realizando comprobaciones de seguridad en todas las regiones en las que haya un control activado y le cobrará en función del número de comprobaciones por cuenta y región. En consecuencia, para reducir el ruido de búsqueda y ahorrar en el coste del Security Hub CSPM, también debe deshabilitar los controles que implican recursos globales en todas las regiones, excepto en la región que registra los recursos globales.

Si un control incluye recursos globales, pero solo está disponible en una región, si lo deshabilita en esa región, no podrá obtener resultados para el recurso subyacente. En ese caso, recomendamos que mantenga el control habilitado. Al utilizar la agregación entre regiones, la región en la que esté disponible el control debe ser la región de agregación o una de las regiones vinculadas. Los siguientes controles incluyen recursos globales, pero solo están disponibles en una sola región:

  • Todos los CloudFront controles: disponibles solo en la región EE.UU. Este (Norte de Virginia)

  • GlobalAccelerator.1 — Disponible solo en la región EE.UU. Oeste (Oregón)

  • Ruta 53.2: disponible solo en la región EE.UU. Este (Norte de Virginia)

  • WAF.1, WAF.6, WAF.7, WAF.8: disponibles solo en la región EE.UU. Este (Norte de Virginia)

nota

Si usa la configuración central, Security Hub CSPM deshabilita automáticamente los controles que involucran recursos globales en todas las regiones, excepto en la región de origen. Los controles que elija habilitar a través de una política de configuración están habilitados en todas las regiones en las que están disponibles. Para limitar las búsquedas de estos controles a una sola región, puede actualizar la configuración de la AWS Config grabadora y desactivar el registro de recursos globales en todas las regiones, excepto en la región de origen.

Si un control habilitado que implica recursos globales no es compatible en la región de origen, Security Hub CSPM intenta habilitar el control en una región vinculada en la que se admita el control. Con la configuración central, no hay cobertura para un control que no está disponible en la región de origen ni en ninguna de las regiones vinculadas.

Para obtener más información acerca de la configuración centralizada, consulte Descripción de la configuración central en Security Hub (CSPM).

Para los controles que tienen un tipo de programación periódica, es necesario deshabilitarlos en Security Hub CSPM para evitar la facturación. Si se establece el AWS Config parámetro includeGlobalResourceTypes en, false no se ven afectados los controles periódicos de CSPM de Security Hub.

Los siguientes controles CSPM de Security Hub utilizan recursos globales:

CloudTrail controles de registro

Este control trata del uso de AWS Key Management Service (AWS KMS) para cifrar los registros de AWS CloudTrail seguimiento. Si registra estos registros en una cuenta de registro centralizada, debe habilitar este control solo en la cuenta y la región en las que se realiza el registro centralizado.

nota

Si utiliza la configuración centralizada, el estado de habilitación de un control se alinea en la región de origen y en las regiones vinculadas. No puede deshabilitar un control en algunas regiones y habilitarlo en otras. En este caso, suprima los resultados de los siguientes controles para reducir el ruido de los resultados.

CloudWatch controles de alarma

Si prefieres utilizar Amazon GuardDuty para la detección de anomalías en lugar de CloudWatch las alarmas de Amazon, puedes desactivar los siguientes controles, que se centran en CloudWatch las alarmas: