Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Reglas de automatización en Security Hub

Con Security Hub, puede automatizar tareas como la actualización de los detalles de búsqueda y la creación de tickets para integraciones de terceros.

Reglas de automatización y Regiones de AWS

Las reglas de automatización se pueden crear en una Región de AWS y luego aplicarse en todas las configuraciones Regiones de AWS. Al utilizar la agregación de regiones, solo puede crear reglas en la región de origen. Al crear reglas en la región de origen, cualquier regla que defina se aplicará a todas las regiones vinculadas, a menos que los criterios de la regla excluyan una región vinculada específica. Debes crear una regla de automatización para cualquier región que no sea una región vinculada.

Reglas, acciones y criterios

Las reglas de automatización de Security Hub utilizan criterios para hacer referencia a los atributos de OCSF en las conclusiones de Security Hub. Por ejemplo, los filtros compatibles con el Criteria parámetro in CreateAutomationRuleV2coinciden con los filtros compatibles con el Criteria parámetro in GetFindingsV2. Esto significa que los filtros utilizados en las reglas de automatización se pueden usar para obtener resultados. Security Hub admite los siguientes campos de OCSF para los criterios de las reglas de automatización.

En el caso de los criterios etiquetados como campos de cadena, el uso de diferentes operadores de filtro en el mismo campo afecta a la lógica de evaluación. Para obtener más información, consulte StringFilterla Referencia de la API de Security Hub.

Cada criterio admite una cantidad máxima de valores que se pueden utilizar para filtrar los resultados que coinciden. Para conocer los límites de cada criterio, consulte OcsfFindingFiltersla Referencia de la API de Security Hub

Campos de OCSF que se pueden actualizar

Los siguientes son los campos de OCSF que se pueden actualizar mediante reglas de automatización.

Cómo evalúan las reglas de automatización los hallazgos

Una regla de automatización evalúa los hallazgos nuevos y actualizados que Security Hub genera o ingiere después de crear la regla.

Las reglas de automatización evalúan los resultados originales proporcionados por el proveedor. Los proveedores pueden proporcionar nuevos hallazgos y actualizar los existentes mediante su integración con Security Hub. Las reglas no se desencadenan cuando se actualizan los campos de resultados después de la creación de la regla mediante la operación BatchUpdateFindingsV2. Si crea una regla de automatización y realiza una actualización BatchUpdateFindingsV2 que afecten al mismo campo de resultado, la última actualización establecerá el valor de ese campo. Vea el siguiente ejemplo:

Se utiliza BatchUpdateFindingsV2 para actualizar el campo Status de un resultado de New a In Process. Si llama a GetFindingsV2, el campo Status ahora tendrá un valor de In Process. Se crea una regla de automatización que cambia el campo Status del resultado de New a Suppressed (recuerde que las reglas ignoran las actualizaciones realizadas con BatchUpdateFindingsV2). El proveedor de la búsqueda actualiza la búsqueda y cambia el Status campo aNew. Si llama a GetFindingsV2, el campo Status ahora tendrá un valor de Suppressed, ya que se aplicará la regla de automatización y la regla será la última acción que se realice en el resultado.

Cuando crea o edita una regla en la consola de Security Hub, la consola muestra una vista previa de los resultados que coinciden con los criterios de la regla. Mientras que las reglas de automatización evalúan los resultados originales enviados por el proveedor de resultados, la vista previa de la consola refleja los resultados del estado final, tal como se mostrarían en respuesta a la operación de la API GetFindingsV2 (es decir, después de aplicar las acciones de regla u otras actualizaciones al resultado).

Cómo se ordenan las reglas de automatización

A cada regla de automatización se le asigna un orden de reglas. Esto determina el orden en que Security Hub aplica sus reglas de automatización y adquiere importancia cuando varias reglas se relacionan con el mismo resultado o campo de resultado.

Cuando varias acciones de reglas se refieren al mismo resultado o campo de resultado, la regla con el valor numérico más alto de orden de reglas se aplica en último lugar y tiene el efecto definitivo.

Al crear una regla en la consola de Security Hub, Security Hub asigna automáticamente el orden de las reglas según el orden de creación de las mismas. La primera regla que cree tendrá un orden de reglas de 1. Si existe más de una regla, cada regla que se cree posteriormente tendrá el siguiente valor numérico más alto disponible para el orden de las reglas.

Al crear una regla a través de la CreateAutomationRuleV2API o AWS CLI, Security Hub aplica RuleOrder primero la regla con el valor numérico más bajo. Luego aplica las reglas subsiguientes en orden ascendente. Si varios resultados tienen lo mismoRuleOrder, Security Hub aplica primero una regla con un valor anterior para el UpdatedAt campo (es decir, la regla que se editó más recientemente se aplica en último lugar).

Puede modificar el orden de las reglas en cualquier momento.

Ejemplo de orden de reglas:

Regla A (el orden de la regla es1):

Regla B (el orden de la regla es2):

En primer lugar, las acciones de la Regla A se aplican a los hallazgos de Security Hub que coinciden con los criterios de la Regla A. A continuación, las acciones de la Regla B se aplican a los hallazgos de Security Hub con el ID de cuenta especificado. En este ejemplo, como la regla B se aplica en último lugar, el valor final de Severity en los resultados del ID de cuenta especificado es INFORMATIONAL. Según la acción de la regla A, el valor final de Confidence en los resultados coincidentes es 95.

Integraciones de terceros

Puede usar las reglas de automatización para crear tickets para integraciones con Jira Cloud yServiceNow ITSM. Para obtener más información, consulte Crear una regla para una integración de terceros.

Escenarios en los que las reglas de automatización no funcionan

Los siguientes son escenarios en los que las reglas de automatización no funcionan.

En estos escenarios, un miembro de una organización puede administrar las reglas de automatización con operaciones de lista, obtención y eliminación en o AWS CLI APIs

Cuando una región desvinculada se convierte en región vinculada, el administrador delegado o la cuenta independiente pueden administrar los recursos de una región vinculada mediante operaciones de lista, obtención y eliminación.