Permisos necesarios para configurar controles en el CSPM de Security Hub
Para ver información sobre los controles de seguridad y habilitar y desactivar los controles de seguridad en los estándares, el rol de AWS Identity and Access Management (IAM) que utiliza para acceder al CSPM de AWS Security Hub necesita permisos para llamar a las siguientes operaciones de la API del CSPM de Security Hub.
Para obtener los permisos necesarios, puede utilizar las políticas administrada por el CSPM de Security Hub. Como alternativa, puede actualizar las políticas de IAM personalizadas para incluir permisos para estas acciones.
-
BatchGetSecurityControls – Devuelve información sobre un lote de controles de seguridad para la cuenta corriente y Región de AWS.
-
ListSecurityControlDefinitions – Devuelve información sobre los controles de seguridad que se aplican a un estándar específico.
-
ListStandardsControlAssociations – Identifica si un control de seguridad está activado o desactivado actualmente en cada uno de los estándares habilitados de la cuenta.
-
BatchGetStandardsControlAssociations – En el caso de un lote de controles de seguridad, identifica si cada control está actualmente activado o desactivado según un estándar específico.
-
BatchUpdateStandardsControlAssociations – Se utiliza para habilitar un control de seguridad en los estándares que incluyen el control, o para deshabilitar un control en los estándares. Se trata de un sustituto por lotes de la operación
UpdateStandardsControlexistente. -
BatchUpdateStandardsControlAssociations: se utiliza para habilitar o deshabilitar un lote de controles de seguridad en los estándares que incluyen los controles. Se trata de un sustituto por lotes de la operación
UpdateStandardsControlexistente. -
UpdateStandardsControl: se utiliza para habilitar o deshabilitar un único control de seguridad en los estándares que incluyen el control
-
DescribeStandardsControl: devuelve detalles sobre los controles de seguridad específicos.
Además de las API anteriores, debe añadir permisos para llamar BatchGetControlEvaluations a su rol de IAM. Este permiso es necesario para ver el estado de habilitación y cumplimiento de un control, el recuento de sus resultados y la puntuación general de seguridad de los controles en la consola del CSPM de Security Hub. Dado que solo la consola llama a BatchGetControlEvaluations, este permiso no se corresponde directamente con las API o los comandos de la AWS CLI del CSPM de Security Hub documentados públicamente.
