Servicio de AWSintegraciones con Security Hub CSPM

AWSSecurity Hub CSPM admite integraciones con varios otros. Servicios de AWS Estas integraciones pueden ayudar a obtener una visión global de la seguridad y conformidad en todo su entorno de AWS.

A menos que se indique lo contrario a continuación, Servicio de AWS las integraciones que envían los resultados a Security Hub CSPM se activan automáticamente después de activar Security Hub CSPM y el otro servicio. Es posible que se necesite realizar pasos adicionales para habilitar algunas integraciones que reciben resultados del CSPM de Security Hub. Revise la información sobre cada integración para obtener más información.

Algunas integraciones no están disponibles en todas. Regiones de AWS En la consola del CSPM de Security Hub, una integración no aparece en la página Integraciones si no es compatible en la región actual. Para obtener una lista de las integraciones que están disponibles en las regiones de China yAWS GovCloud (US) Regions, consulteDisponibilidad de las integraciones por región.

Descripción general de las integraciones de AWS servicios con Security Hub CSPM

La siguiente tabla proporciona una descripción general de AWS los servicios que envían las conclusiones al Security Hub CSPM o reciben las conclusiones del Security Hub CSPM.

Servicios de AWSque envían los resultados a Security Hub (CSPM)

Los siguientes elementos se Servicios de AWS integran con el Security Hub CSPM y pueden enviarse a él. El CSPM de Security Hub convierte los resultados al Formato de resultados de seguridad de AWS.

AWS Config(Envía los resultados)

AWS Configes un servicio que le permite evaluar, auditar y evaluar las configuraciones de sus AWS recursos. AWS Configsupervisa y registra continuamente las configuraciones de sus AWS recursos y le permite automatizar la evaluación de las configuraciones registradas comparándolas con las configuraciones deseadas.

Al utilizar la integración conAWS Config, puede ver los resultados de las evaluaciones de reglas AWS Config gestionadas y personalizadas como hallazgos en Security Hub CSPM. Estos resultados se pueden ver junto con otros resultados del CSPM de Security Hub, lo que proporciona una visión general completa de la postura de seguridad.

AWS Configusa Amazon EventBridge para enviar evaluaciones de AWS Config reglas a Security Hub CSPM. El CSPM de Security Hub transforma las evaluaciones de reglas en resultados que adoptan el Formato de resultados de seguridad de AWS. Posteriormente, el CSPM de Security Hub complementa los resultados, según sea posible, con información adicional sobre los recursos afectados, como el nombre de recurso de Amazon (ARN), las etiquetas del recurso y la fecha de creación.

Para obtener más información sobre esta integración, consulte las secciones siguientes.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

AWS Firewall Manager(Envía los resultados)

Firewall Manager envía resultados al CSPM de Security Hub cuando una política de firewall de aplicaciones web (WAF) para recursos o una regla de lista de control de acceso web (web ACL) no cumple con los requisitos de cumplimiento. Firewall Manager también envía los resultados cuando AWS Shield Advanced no protege los recursos o cuando se identifica un ataque.

Después de habilitar el CSPM de Security Hub, esta integración se activa automáticamente. Firewall Manager empieza a enviar resultados al CSPM de Security Hub de inmediato.

Para obtener más información sobre la integración, consulte la página Integraciones en la consola del CSPM de Security Hub.

Para obtener más información sobre Firewall Manager, consulte la Guía para desarrolladores de AWS WAF.

Amazon GuardDuty (envía los resultados)

GuardDuty envía todos los tipos de hallazgos que genera al Security Hub CSPM. Algunos tipos de resultados tienen requisitos previos, requisitos de habilitación o limitaciones por región. Para obtener más información, consulta la GuardDuty búsqueda de tipos en la Guía del GuardDuty usuario de Amazon.

Los nuevos hallazgos GuardDuty se envían al Security Hub CSPM en cinco minutos. Las actualizaciones de los resultados se envían en función de la configuración de resultados actualizados de Amazon EventBridge en GuardDuty la configuración.

Al generar resultados de GuardDuty muestra mediante la página de GuardDuty configuración, Security Hub CSPM recibe los resultados de muestra y omite el prefijo [Sample] en el tipo de hallazgo. Por ejemplo, el ejemplo del tipo de búsqueda GuardDuty [SAMPLE] Recon:IAMUser/ResourcePermissions se muestra como Recon:IAMUser/ResourcePermissions en Security Hub CSPM.

Después de habilitar el CSPM de Security Hub, esta integración se activa automáticamente. GuardDuty empieza inmediatamente a enviar resultados al CSPM de Security Hub.

Para obtener más información sobre la GuardDuty integración, consulte Integración con AWS Security Hub CSPM en la Guía GuardDuty del usuario de Amazon.

AWS Health(Envía los resultados)

AWS Healthproporciona una visibilidad continua del rendimiento de sus recursos y de la disponibilidad de sus Servicios de AWS yCuentas de AWS. Puede usar los eventos AWS Health para saber cómo pueden afectar los cambios de servicios y recursos a las aplicaciones que ejecuta en AWS.

La integración con AWS Health no utilizaBatchImportFindings. En su lugar, AWS Health utiliza la mensajería de service-to-service eventos para enviar las conclusiones al Security Hub (CSPM).

Para obtener más información sobre la integración, consulte las siguientes secciones.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com inAWSRegion US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies toAWSRegion US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

AWS Identity and Access Management Access Analyzer(Envía los resultados)

Con el Analizador de acceso de IAM, todos los resultados se envían al CSPM de Security Hub.

IAM Access Analyzer utiliza un razonamiento lógico para analizar las políticas basadas en recursos que se aplican a los recursos de la cuenta compatibles. IAM Access Analyzer genera un resultado cuando detecta una declaración de la política que permite que una entidad principal externa pueda acceder a un recurso de la cuenta.

En IAM Access Analyzer, solo la cuenta de administrador puede ver los resultados de los analizadores que se aplican a una organización. En el caso de los analizadores de la organización, el campo AwsAccountId ASFF refleja el ID de la cuenta de administrador. Bajo ProductFields, el campo ResourceOwnerAccount indica la cuenta en la que se descubrió el resultado. Si habilita analizadores de forma individual para cada cuenta, el CSPM de Security Hub genera varios resultados: uno que identifica el ID de la cuenta de administrador y otro que identifica el ID de la cuenta de recursos.

Para obtener más información, consulte Integración con AWS Security Hub CSPM en la Guía del usuario de IAM.

Amazon Inspector (Envía resultados)

Amazon Inspector es un servicio de gestión de vulnerabilidades que analiza continuamente sus cargas de trabajo en AWS en busca de vulnerabilidades. Amazon Inspector descubre y escanea automáticamente EC2 las instancias de Amazon y las imágenes de contenedores que se encuentran en Amazon Elastic Container Registry. El escaneo busca vulnerabilidades de software y exposición no deseada en la red.

Después de habilitar el CSPM de Security Hub, esta integración se activa automáticamente. Amazon Inspector comienza de inmediato a enviar al CSPM de Security Hub todos los resultados que genera.

Para obtener más información sobre la integración, consulte Integración con el CSPM de AWS Security Hub en la Guía del usuario de Amazon Inspector.

El CSPM de Security Hub también puede recibir resultados de Amazon Inspector Classic. Amazon Inspector Classic envía al CSPM de Security Hub los resultados generados durante las ejecuciones de evaluaciones para todos los paquetes de reglas admitidos.

Para obtener más información sobre la integración, consulte Integración con AWS Security Hub CSPM en la Guía del usuario de Amazon Inspector Classic.

Los resultados de Amazon Inspector y Amazon Inspector Classic utilizan el mismo ARN de producto. Los resultados de Amazon Inspector presentan la siguiente entrada en ProductFields:

"aws/inspector/ProductVersion": "2",

AWS IoT Device Defender(Envía los resultados)

AWS IoT Device Defenderes un servicio de seguridad que audita la configuración de sus dispositivos de IoT, monitorea los dispositivos conectados para detectar comportamientos anormales y ayuda a mitigar los riesgos de seguridad.

Tras activar AWS IoT Device Defender tanto el CSPM como el Security Hub, visita la página de integraciones de la consola CSPM de Security Hub y selecciona Aceptar los resultados para Auditar, Detectar o ambos. AWS IoT Device DefenderAudit and Detect comienza a enviar todos los resultados al Security Hub (CSPM).

AWS IoT Device DefenderLa auditoría envía los resúmenes de las comprobaciones a Security Hub CSPM, que contienen información general sobre un tipo de comprobación de auditoría y una tarea de auditoría específicos. AWS IoT Device DefenderDetect envía los hallazgos de infracciones relacionados con el aprendizaje automático (ML) y los comportamientos estadísticos y estáticos al Security Hub CSPM. Audit también envía actualizaciones de resultados al CSPM de Security Hub.

Para obtener más información sobre esta integración, consulte Integración con el CSPM de AWS Security Hub en la Guía del desarrollador de AWS IoT.

Amazon Macie (Envía resultados)

Amazon Macie es un servicio de seguridad de datos que detecta datos confidenciales mediante el machine learning y la coincidencia de patrones, proporciona visibilidad de los riesgos de seguridad de los datos y permite establecer una protección automatizada contra esos riesgos. Un resultado de Macie puede indicar que existe una posible infracción de políticas o información confidencial en el entorno de datos de Amazon S3.

Después de habilitar el CSPM de Security Hub, Macie comienza automáticamente a enviar resultados de políticas al CSPM de Security Hub. Es posible configurar la integración para que también envíe resultados de información confidencial al CSPM de Security Hub.

En el CSPM de Security Hub, el tipo de resultado para un resultado de políticas o de información confidencial se cambia a un valor compatible con el formato ASFF. Por ejemplo, el tipo de resultado Policy:IAMUser/S3BucketPublic en Macie se muestra como Effects/Data Exposure/Policy:IAMUser-S3BucketPublic en el CSPM de Security Hub.

Macie también envía resultados de ejemplo generados al CSPM de Security Hub. En el caso de los resultados de muestra, el nombre del recurso afectado es macie-sample-finding-bucket y el valor del campo Sample es true.

Para obtener más información, consulte Evaluación de resultados de Macie con Security Hub en la Guía del usuario de Amazon Macie.

Amazon Route 53 ResolverFirewall de DNS (envía los resultados)

Con Amazon Route 53 Resolver DNS Firewall, puede filtrar y regular el tráfico DNS saliente para su nube privada virtual (VPC). Esto se logra mediante la creación de colecciones reutilizables de reglas de filtrado en grupos de reglas de DNS Firewall, la asociación de esos grupos de reglas con la VPC y la supervisión de la actividad en los registros y métricas de DNS Firewall. Puede ajustar cómo se comporta DNS Firewall en función de la actividad observada. DNS Firewall es una característica de Route 53 Resolver.

Route 53 Resolver DNS Firewall puede enviar varios tipos de resultados al CSPM de Security Hub:

Después de activar Security Hub CSPM y Route 53 Resolver DNS Firewall, DNS Firewall comienza a enviar automáticamente los resultados de las listas de dominios AWS gestionadas y DNS Firewall Advanced a Security Hub CSPM. Para enviar también al CSPM de Security Hub resultados de una lista de dominios personalizada, habilite manualmente la integración en el CSPM de Security Hub.

En el CSPM de Security Hub, todos los resultados de Route 53 Resolver DNS Firewall tienen el siguiente tipo: TTPs/Impact/Impact:Runtime-MaliciousDomainRequest.Reputation.

Para obtener más información, consulte Envío de resultados desde Route 53 Resolver DNS Firewall al CSPM de Security Hub en la Guía para desarrolladores de Amazon Route 53.

AWS Systems ManagerAdministrador de parches (envía los resultados)

AWS Systems ManagerPatch Manager envía los resultados al Security Hub CSPM cuando las instancias de la flota de un cliente no cumplen con su estándar de cumplimiento de parches.

Patch Manager automatiza el proceso de aplicación de parches a instancias administradas con actualizaciones relacionadas con la seguridad y otros tipos de actualizaciones.

Después de habilitar el CSPM de Security Hub, esta integración se activa automáticamente. El Administrador de parches de Systems Manager comienza inmediatamente a enviar resultados al CSPM de Security Hub.

Para obtener más información acerca de cómo utilizar Patch Manager, consulte AWS Systems Manager Patch Manager en la Guía del usuario de AWS Systems Manager.

AWSservicios que reciben las conclusiones de Security Hub (CSPM)

Los siguientes AWS servicios están integrados con el Security Hub CSPM y reciben las conclusiones del Security Hub CSPM. Cuando se indique lo contrario, el servicio integrado también puede actualizar resultados. En este caso, las actualizaciones de resultados que realice en el servicio integrado también se reflejarán en el CSPM de Security Hub.

AWS Audit Manager(Recibe los resultados)

AWS Audit Managerrecibe las conclusiones de Security Hub CSPM. Estos resultados ayudan a los usuarios de Audit Manager a prepararse para las auditorías.

Para obtener más información sobre Audit Manager, consulte la Guía del usuario de AWS Audit Manager. AWSLas comprobaciones del CSPM de Security Hub compatibles con AWS Audit Manager enumeran los controles para los cuales el CSPM de Security Hub envía resultados a Audit Manager.

Amazon Q Developer en aplicaciones de chat (recibe resultados)

Amazon Q Developer en aplicaciones de chat es un agente interactivo que ayuda a supervisar e interactuar con los recursos de AWS en los canales de Slack y salas de chat de Amazon Chime.

Amazon Q Developer en aplicaciones de chat recibe resultados del CSPM de Security Hub.

Para obtener más información sobre la integración de Amazon Q Developer en aplicaciones de chat con el CSPM de Security Hub, consulte la Descripción general de la integración con el CSPM de Security Hub en la Guía del administrador de Amazon Q Developer en aplicaciones de chat.

Amazon Detective (Recibe resultados)

Detective recopila automáticamente los datos de registro de sus AWS recursos y utiliza el aprendizaje automático, el análisis estadístico y la teoría de grafos para ayudarlo a visualizar y llevar a cabo investigaciones de seguridad más rápidas y eficientes.

La integración de Security Hub CSPM con Detective le permite pasar de los GuardDuty hallazgos de Amazon en Security Hub CSPM a Detective. A continuación, puede utilizar las herramientas y visualizaciones de Detective para investigarlos. Esta integración no requiere ninguna configuración adicional en el CSPM de Security Hub ni en Detective.

Para los hallazgos recibidos de otrosServicios de AWS, el panel de detalles de los hallazgos de la consola CSPM de Security Hub incluye una subsección Investiga en Detective. Esa subsección contiene un enlace a Detective, donde puede investigar más a fondo el problema de seguridad que indicó el resultado. También puede crear un gráfico de comportamiento en Detective basado en resultados del CSPM de Security Hub para realizar investigaciones más eficaces. Para obtener más información, consulte Resultados de seguridad de AWS en la Guía de administración de Amazon Detective.

Si la agregación entre regiones está habilitada, al pasar de la región de agregación, Detective se abre en la región en la que se originó el resultado.

Si un enlace no funciona, para obtener información sobre la solución de problemas, consulte Solución de problemas del pivot.

Amazon Security Lake (Recibe resultados)

Security Lake es un servicio de lago de datos de seguridad totalmente gestionado. Puede usar Amazon Security Lake para centralizar automáticamente los datos de seguridad de fuentes en la nube, en las instalaciones y personalizadas en un lago de datos almacenado en su cuenta. Los suscriptores pueden consumir datos de Security Lake para casos de uso de investigación y análisis.

Para activar esta integración, debe habilitar ambos servicios y agregar Security Hub CSPM como fuente en la consola de Security Lake, la API de Security Lake o. AWS CLI Una vez que complete estos pasos, el CSPM de Security Hub empieza a enviar todos los resultados a Security Lake.

Security Lake normaliza automáticamente los resultados del CSPM de Security Hub y los convierte a un esquema de código abierto estandarizado denominado Marco de Esquema de Ciberseguridad Abierto (OCSF). En Security Lake, puede agregar uno o más suscriptores para consumir los resultados del CSPM de Security Hub.

Para obtener más información sobre esta integración, incluidas las instrucciones sobre cómo añadir Security Hub CSPM como fuente y crear suscriptores, consulte Integración con AWS Security Hub CSPM en la Guía del usuario de Amazon Security Lake.

AWS Systems ManagerExplorer y OpsCenter (recibe y actualiza los resultados)

AWS Systems ManagerExplore y OpsCenter reciba las conclusiones del Security Hub CSPM y actualícelas en Security Hub CSPM.

Explorer le proporciona un panel personalizable con información y análisis clave sobre el estado y el rendimiento operativos de su entorno de AWS.

OpsCenter le proporciona una ubicación central para ver, investigar y resolver los elementos de trabajo operativos.

Para obtener más información sobre Explorer OpsCenter, consulte Gestión de operaciones en la Guía del AWS Systems Manager usuario.

AWS Trusted Advisor(Recibe los resultados)

Trusted Advisorse basa en las mejores prácticas aprendidas al atender a cientos de miles de AWS clientes. Trusted Advisorinspecciona su AWS entorno y, a continuación, hace recomendaciones cuando existen oportunidades para ahorrar dinero, mejorar la disponibilidad y el rendimiento del sistema o ayudar a cerrar las brechas de seguridad.

Al habilitar tanto Trusted Advisor el CSPM como el Security Hub, la integración se actualiza automáticamente.

Security Hub CSPM envía los resultados de sus comprobaciones de mejores prácticas de seguridad AWS fundamentales a. Trusted Advisor

Para obtener más información sobre la integración de CSPM con Security HubTrusted Advisor, consulte Visualización de los controles CSPM de AWS Security Hub en AWS Trusted Advisor la Guía del usuario de SupportAWS.