Servicio de AWS integraciones con Security Hub CSPM

AWS Security Hub Cloud Security Posture Management (CSPM) admite integraciones con varios otros. Servicios de AWS

A menos que se indique a continuación, Servicio de AWS las integraciones que envían los resultados a Security Hub CSPM se activan automáticamente después de activar Security Hub CSPM y el otro servicio. Las integraciones que reciben los resultados del CSPM de Security Hub pueden requerir pasos adicionales para su activación. Revise la información sobre cada integración para obtener más información.

Descripción general de las integraciones de AWS servicios con Security Hub (CSPM)

Esta es una descripción general de AWS los servicios que envían las conclusiones al Security Hub CSPM o reciben las conclusiones del Security Hub CSPM.

AWS servicios que envían los resultados a Security Hub (CSPM)

Los siguientes AWS servicios se integran con el Security Hub CSPM mediante el envío de las conclusiones al Security Hub CSPM. Security Hub CSPM convierte los hallazgos al formato AWS Security Finding.

AWS Config (Envía los resultados)

AWS Config es un servicio que le permite evaluar, auditar y evaluar las configuraciones de sus AWS recursos. AWS Config supervisa y registra continuamente las configuraciones de sus AWS recursos y le permite automatizar la evaluación de las configuraciones registradas comparándolas con las configuraciones deseadas.

Al utilizar la integración con AWS Config, puede ver los resultados de las evaluaciones de reglas AWS Config gestionadas y personalizadas como hallazgos en Security Hub CSPM. Estos hallazgos se pueden ver junto con otros hallazgos del CSPM de Security Hub, lo que proporciona una visión general completa de su postura de seguridad.

AWS Config utiliza Amazon EventBridge para enviar las evaluaciones de las AWS Config reglas a Security Hub (CSPM). Security Hub CSPM transforma las evaluaciones de las reglas en hallazgos que siguen el formato de búsqueda AWS de seguridad. Luego, Security Hub CSPM enriquece los hallazgos haciendo todo lo posible al obtener más información sobre los recursos afectados, como el nombre del recurso de Amazon (ARN), las etiquetas de los recursos y la fecha de creación.

Para obtener más información sobre esta integración, consulte las secciones siguientes.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

AWS Firewall Manager (Envía los resultados)

Firewall Manager envía los resultados al Security Hub CSPM cuando una política de firewall de aplicaciones web (WAF) para los recursos o una regla de lista de control de acceso web (ACL web) no cumple con los requisitos. Firewall Manager también envía los resultados cuando AWS Shield Advanced no protege los recursos o cuando se identifica un ataque.

Tras activar Security Hub CSPM, esta integración se activa automáticamente. Firewall Manager comienza inmediatamente a enviar los resultados al Security Hub CSPM.

Para obtener más información sobre la integración, consulte la página de integraciones de la consola CSPM de Security Hub.

Para obtener más información sobre Firewall Manager, consulte la Guía para desarrolladores de AWS WAF .

Amazon GuardDuty (envía los resultados)

GuardDuty envía todos los tipos de hallazgos que genera al Security Hub CSPM. Algunos tipos de búsqueda tienen requisitos previos, requisitos de habilitación o limitaciones regionales. Para obtener más información, consulta la GuardDuty búsqueda de tipos en la Guía del GuardDuty usuario de Amazon.

Los nuevos hallazgos GuardDuty se envían al Security Hub CSPM en cinco minutos. Las actualizaciones de los resultados se envían en función de la configuración de resultados actualizados de Amazon EventBridge en GuardDuty la configuración.

Al generar resultados de GuardDuty muestra mediante la página de GuardDuty configuración, Security Hub CSPM recibe los resultados de muestra y omite el prefijo [Sample] en el tipo de hallazgo. Por ejemplo, el ejemplo del tipo de búsqueda GuardDuty [SAMPLE] Recon:IAMUser/ResourcePermissions se muestra como Recon:IAMUser/ResourcePermissions en Security Hub CSPM.

Tras activar Security Hub CSPM, esta integración se activa automáticamente. GuardDuty comienza inmediatamente a enviar los resultados al Security Hub CSPM.

Para obtener más información sobre la GuardDuty integración, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía GuardDuty del usuario de Amazon.

AWS Health (Envía los resultados)

AWS Health proporciona una visibilidad continua del rendimiento de sus recursos y de la disponibilidad de sus Servicios de AWS y Cuentas de AWS. Puede usar los eventos AWS Health para saber cómo pueden afectar los cambios de servicios y recursos a las aplicaciones que ejecuta en AWS.

La integración con AWS Health no utilizaBatchImportFindings. En su lugar, AWS Health utiliza la mensajería de service-to-service eventos para enviar las conclusiones al Security Hub (CSPM).

Para obtener más información sobre la integración, consulte las siguientes secciones.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

AWS Identity and Access Management Access Analyzer (Envía los resultados)

Con IAM Access Analyzer, todos los resultados se envían a Security Hub CSPM.

IAM Access Analyzer utiliza un razonamiento lógico para analizar las políticas basadas en recursos que se aplican a los recursos de la cuenta compatibles. IAM Access Analyzer genera un resultado cuando detecta una declaración de la política que permite que una entidad principal externa pueda acceder a un recurso de la cuenta.

En IAM Access Analyzer, solo la cuenta de administrador puede ver los resultados de los analizadores que se aplican a una organización. En el caso de los analizadores de la organización, el campo AwsAccountId ASFF refleja el ID de la cuenta de administrador. Bajo ProductFields, el campo ResourceOwnerAccount indica la cuenta en la que se descubrió el resultado. Si habilita los analizadores individualmente para cada cuenta, Security Hub CSPM genera varios resultados, uno que identifica el ID de la cuenta del administrador y otro que identifica el ID de la cuenta de recursos.

Para obtener más información, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía del usuario de IAM.

Amazon Inspector (Envía resultados)

Amazon Inspector es un servicio de gestión de vulnerabilidades que analiza continuamente sus cargas de trabajo en AWS en busca de vulnerabilidades. Amazon Inspector descubre y escanea automáticamente EC2 las instancias de Amazon y las imágenes de contenedores que se encuentran en Amazon Elastic Container Registry. El escaneo busca vulnerabilidades de software y exposición no deseada en la red.

Tras activar Security Hub CSPM, esta integración se activa automáticamente. Amazon Inspector comienza inmediatamente a enviar todas las conclusiones que genera a Security Hub (CSPM).

Para obtener más información sobre la integración, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía del usuario de Amazon Inspector.

Security Hub CSPM también puede recibir las conclusiones de Amazon Inspector Classic. Amazon Inspector Classic envía los resultados al Security Hub (CSPM) que se generan a través de las evaluaciones de todos los paquetes de reglas compatibles.

Para obtener más información sobre la integración, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía del usuario de Amazon Inspector Classic.

Los resultados de Amazon Inspector y Amazon Inspector Classic utilizan el mismo ARN de producto. Los resultados de Amazon Inspector presentan la siguiente entrada en ProductFields:

"aws/inspector/ProductVersion": "2",

AWS IoT Device Defender (Envía los resultados)

AWS IoT Device Defender es un servicio de seguridad que audita la configuración de sus dispositivos de IoT, monitorea los dispositivos conectados para detectar comportamientos anormales y ayuda a mitigar los riesgos de seguridad.

Tras activar AWS IoT Device Defender tanto el CSPM como el Security Hub, visita la página de integraciones de la consola CSPM de Security Hub y selecciona Aceptar los resultados para Auditar, Detectar o ambos. AWS IoT Device Defender Audit and Detect comienza a enviar todos los resultados al Security Hub (CSPM).

AWS IoT Device Defender La auditoría envía los resúmenes de las comprobaciones a Security Hub CSPM, que contienen información general sobre un tipo de comprobación de auditoría y una tarea de auditoría específicos. AWS IoT Device Defender Detect envía los hallazgos de infracciones relacionados con el aprendizaje automático (ML) y los comportamientos estadísticos y estáticos al Security Hub CSPM. La auditoría también envía las actualizaciones de búsqueda a Security Hub CSPM.

Para obtener más información sobre esta integración, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía para AWS IoT desarrolladores.

Amazon Macie (Envía resultados)

Un resultado de Macie puede indicar que existe una infracción potencial de la política o que hay información confidencial, como información de identificación personal (PII), presente en los datos que su organización almacena en Amazon S3.

Tras activar Security Hub CSPM, Macie comienza a enviar automáticamente las conclusiones de las políticas a Security Hub CSPM. Puede configurar la integración para que también envíe los hallazgos de datos confidenciales a Security Hub CSPM.

En Security Hub CSPM, el tipo de búsqueda de una política o de datos confidenciales se cambia a un valor compatible con ASFF. Por ejemplo, el tipo de Policy:IAMUser/S3BucketPublic búsqueda en Macie se muestra como Effects/Data Exposure/Policy:IAMUser-S3BucketPublic en Security Hub CSPM.

Macie también envía los resultados de muestra generados a Security Hub CSPM. En el caso de los resultados de muestra, el nombre del recurso afectado es macie-sample-finding-bucket y el valor del campo Sample es true.

Para obtener más información, consulte la integración de Amazon Macie con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía del usuario de Amazon Macie.

AWS Systems Manager Gestor de parches (envía los resultados)

AWS Systems Manager Patch Manager envía los resultados al Security Hub CSPM cuando las instancias de la flota de un cliente no cumplen con su estándar de cumplimiento de parches.

Patch Manager automatiza el proceso de aplicación de parches a instancias administradas con actualizaciones relacionadas con la seguridad y otros tipos de actualizaciones.

Tras activar Security Hub CSPM, esta integración se activa automáticamente. El administrador de parches de Systems Manager comienza inmediatamente a enviar los resultados al Security Hub (CSPM).

Para obtener más información acerca de cómo utilizar Patch Manager, consulte AWS Systems Manager Patch Manager en la Guía del usuario de AWS Systems Manager .

AWS servicios que reciben las conclusiones de Security Hub (CSPM)

Los siguientes AWS servicios están integrados con el Security Hub CSPM y reciben las conclusiones del Security Hub CSPM. Cuando se indique lo contrario, el servicio integrado también puede actualizar resultados. En este caso, la búsqueda de las actualizaciones que realice en el servicio integrado también se reflejará en Security Hub CSPM.

AWS Audit Manager (Recibe los resultados)

AWS Audit Manager recibe las conclusiones de Security Hub CSPM. Estos resultados ayudan a los usuarios de Audit Manager a prepararse para las auditorías.

Para obtener más información sobre Audit Manager, consulte la Guía del usuario de AWS Audit Manager.AWS Las comprobaciones de Security Hub Cloud Security Posture Management (CSPM) compatibles con AWS Audit Manager las listas de controles para los que Security Hub CSPM envía las conclusiones a Audit Manager.

Desarrollador de Amazon Q en aplicaciones de chat (recibe las conclusiones)

Amazon Q Developer en aplicaciones de chat es un agente interactivo que te ayuda a supervisar e interactuar con tus AWS recursos en tus canales de Slack y salas de chat de Amazon Chime.

El desarrollador de aplicaciones de chat de Amazon Q recibe las conclusiones del CSPM de Security Hub.

Para obtener más información sobre la integración de Amazon Q Developer en aplicaciones de chat con Security Hub CSPM, consulte la descripción general de la integración de CSPM de Security Hub en la Guía del administrador de aplicaciones de chat para desarrolladores de Amazon Q.

Amazon Detective (Recibe resultados)

Detective recopila automáticamente los datos de registro de sus AWS recursos y utiliza el aprendizaje automático, el análisis estadístico y la teoría de grafos para ayudarlo a visualizar y llevar a cabo investigaciones de seguridad más rápidas y eficientes.

La integración de Security Hub CSPM con Detective le permite pasar de los GuardDuty hallazgos de Amazon en Security Hub CSPM a Detective. A continuación, puede utilizar las herramientas y visualizaciones de Detective para investigarlos. La integración no requiere ninguna configuración adicional en Security Hub, CSPM o Detective.

Para los hallazgos recibidos de otros Servicios de AWS, el panel de detalles de los hallazgos de la consola CSPM de Security Hub incluye una subsección Investiga en Detective. Esa subsección contiene un enlace a Detective, donde puede investigar más a fondo el problema de seguridad que indicó el resultado. También puede crear un gráfico de comportamiento en Detective basado en los hallazgos del CSPM de Security Hub para llevar a cabo investigaciones más eficaces. Para obtener más información, consulte Resultados de seguridad de AWS en la Guía de administración de Amazon Detective.

Si la agregación entre regiones está habilitada, al pasar de la región de agregación, Detective se abre en la región en la que se originó el resultado.

Si un enlace no funciona, para obtener información sobre la solución de problemas, consulte Solución de problemas del pivot.

Amazon Security Lake (Recibe resultados)

Security Lake es un servicio de lago de datos de seguridad totalmente gestionado. Puede usar Amazon Security Lake para centralizar automáticamente los datos de seguridad de fuentes en la nube, en las instalaciones y personalizadas en un lago de datos almacenado en su cuenta. Los suscriptores pueden consumir datos de Security Lake para casos de uso de investigación y análisis.

Para activar esta integración, debe habilitar ambos servicios y agregar Security Hub CSPM como fuente en la consola de Security Lake, la API de Security Lake o. AWS CLI Una vez que complete estos pasos, Security Hub CSPM comenzará a enviar todos los hallazgos a Security Lake.

Security Lake normaliza automáticamente las conclusiones del CSPM de Security Hub y las convierte en un esquema estandarizado de código abierto denominado Open Cybersecurity Schema Framework (OCSF). En Security Lake, puede añadir uno o más suscriptores para consumir las conclusiones del CSPM de Security Hub.

Para obtener más información sobre esta integración, incluidas las instrucciones sobre cómo añadir Security Hub CSPM como fuente y crear suscriptores, consulte Integración con AWS Security Hub Cloud Security Posture Management (CSPM) en la Guía del usuario de Amazon Security Lake.

AWS Systems Manager Explorer y OpsCenter (recibe y actualiza los resultados)

AWS Systems Manager Explore y OpsCenter reciba las conclusiones del Security Hub CSPM y actualícelas en Security Hub CSPM.

Explorer le proporciona un panel personalizable con información y análisis clave sobre el estado y el rendimiento operativos de su entorno de AWS .

OpsCenter le proporciona una ubicación central para ver, investigar y resolver los elementos de trabajo operativos.

Para obtener más información sobre Explorer OpsCenter, consulte Gestión de operaciones en la Guía del AWS Systems Manager usuario.

AWS Trusted Advisor (Recibe los resultados)

Trusted Advisor se basa en las mejores prácticas aprendidas al atender a cientos de miles de AWS clientes. Trusted Advisor inspecciona su AWS entorno y, a continuación, hace recomendaciones cuando existen oportunidades para ahorrar dinero, mejorar la disponibilidad y el rendimiento del sistema o ayudar a cerrar las brechas de seguridad.

Al habilitar tanto Trusted Advisor el CSPM como el Security Hub, la integración se actualiza automáticamente.

Security Hub CSPM envía los resultados de sus comprobaciones de mejores prácticas de seguridad AWS fundamentales a. Trusted Advisor

Para obtener más información sobre la integración del Security Hub con el CSPM Trusted Advisor, consulte Visualización de los controles de AWS Security Hub Cloud Security Posture Management (CSPM) en AWS Trusted Advisor la Guía del usuario de Support AWS .