Recomendaciones de Security Hub
nota
Security Hub se encuentra en versión preliminar y está sujeto a cambios.
Los siguientes servicios de seguridad en AWS envían resultados a Security Hub en el formato del Marco de Ciberseguridad Abierto (OCSF). Después de habilitar Security Hub, recomendamos habilitar estos Servicios de AWS para mayor seguridad.
CSPM de Security Hub
Cuando habilita el CSPM de Security Hub, obtiene una vista integral del estado de seguridad en AWS. Esto ayuda a evaluar el entorno en función de los estándares de seguridad del sector y las prácticas recomendadas. Aunque es posible comenzar a usar Security Hub sin habilitar el CSPM de Security Hub, recomendamos activarlo, ya que Security Hub correlaciona señales de seguridad del CSPM para mejorar la administración de la postura de seguridad.
Si habilita el CSPM de Security Hub, también recomendamos habilitar el estándar de Prácticas recomendadas de seguridad básica de AWS para la cuenta. Este estándar consiste en un conjunto de controles que detectan cuándo la Cuentas de AWS y los recursos se desvían de las prácticas recomendadas de seguridad. Cuando habilita el estándar Prácticas recomendadas de seguridad básica de AWS para la cuenta, el CSPM de AWS Security Hub habilita automáticamente todos sus controles, incluidos los controles para los siguientes tipos de recursos:
-
Controles de cuenta
-
Controles de Amazon DynamoDB
-
Controles de Amazon Elastic Compute Cloud
-
Controles de AWS Identity and Access Management (IAM)
-
Controles de AWS Lambda
-
Controles de Amazon Relational Database Service (Amazon RDS)
-
Controles de Amazon Simple Storage Service
Puede desactivar cualquiera de los controles de esta lista. Sin embargo, si desactiva alguno de estos controles, no podrá recibir resultados de exposición para los recursos compatibles. Para obtener información sobre los controles que se aplican al estándar Prácticas recomendadas de seguridad básica de AWS, consulte Prácticas recomendadas de seguridad básica de AWS v1.0.0 (FSBP).
GuardDuty
Cuando habilita GuardDuty, puede ver todas las amenazas y resultados de cobertura de seguridad en el panel de la consola de Security Hub. Si habilita GuardDuty, este servicio comienza automáticamente a enviar datos a Security Hub en el formato OCSF.
Amazon Inspector
Cuando habilita Amazon Inspector, puede ver todas las exposiciones y resultados de cobertura de seguridad en el panel de la consola de Security Hub. Si habilita Amazon Inspector, Amazon Inspector comienza automáticamente a enviar datos a Security Hub en el formato OCSF.
Recomendamos activar el análisis estándar de Amazon EC2 y el análisis estándar de Lambda. Cuando activa el análisis estándar de Amazon EC2, Amazon Inspector analiza las instancias de Amazon EC2 de la cuenta para detectar vulnerabilidades en paquetes y problemas de accesibilidad de red. Cuando activa el análisis estándar de Lambda, Amazon Inspector analiza las funciones de Lambda para detectar vulnerabilidades de software en dependencias de paquetes. Para obtener más información, consulte Activación de un tipo de análisis en la Guía del usuario de Amazon Inspector.
Macie
Cuando habilita Macie, puede detectar exposiciones adicionales en los buckets de Amazon S3. Recomendamos configurar la detección automatizada de información confidencial para que Macie evalúe el inventario de los buckets de Amazon S3 cada día.
