Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Syntaxe de la politique CSPM de Security Hub et exemples

Les politiques CSPM de Security Hub suivent une syntaxe JSON standardisée qui définit la manière dont le Security Hub CSPM est activé et configuré au sein de votre organisation. La compréhension de la structure des politiques vous aide à créer des politiques efficaces répondant à vos exigences de sécurité.

Considérations

Avant de créer des politiques Security Hub CSPM, comprenez les points essentiels suivants concernant la syntaxe des politiques :

Structure politique de base

Une politique Security Hub CSPM utilise cette structure de base :

{
  "securityhub": {
    "enable_in_regions": {
      "@@append": ["ALL_SUPPORTED"],
      "@@operators_allowed_for_child_policies": ["@@all"]
    },
    "disable_in_regions": {
      "@@append": [],
      "@@operators_allowed_for_child_policies": ["@@all"]
    }
  }
}

Composants de politique

Les politiques CSPM du Security Hub contiennent les éléments clés suivants :

Exemples de politiques CSPM de Security Hub

Les exemples suivants illustrent les configurations de politique CSPM courantes du Security Hub.

L'exemple ci-dessous active le Security Hub CSPM dans toutes les régions actuelles et futures. En l'utilisant ALL_SUPPORTED dans la enable_in_regions liste et en la laissant disable_in_regions vide, cette politique garantit une couverture de sécurité complète à mesure que de nouvelles régions deviennent disponibles.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            
         ]
      }
   }
}

Cet exemple désactive Security Hub CSPM dans toutes les régions, y compris dans les régions futures, car la disable_in_regions liste a priorité sur. enable_in_regions

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      }
   }
}

L'exemple suivant montre comment les politiques relatives aux enfants peuvent modifier les paramètres des politiques parentes à l'aide d'opérateurs d'héritage. Cette approche permet un contrôle granulaire tout en préservant la structure globale des politiques. La politique relative aux enfants ajoute une nouvelle région enable_in_regions et en supprime unedisable_in_regions.

{
   "securityhub":{
      "enable_in_regions":{
         "@@append":[
            "eu-central-1"
         ]
      },
      "disable_in_regions":{
         "@@remove":[
            "us-west-2"
         ]
      }
   }
}

Cet exemple montre comment activer Security Hub CSPM dans plusieurs régions spécifiques sans utiliser. ALL_SUPPORTED Cela permet de contrôler avec précision les régions dans lesquelles Security Hub CSPM est activé, tout en laissant les régions non spécifiées non gérées par la politique.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2",
            "eu-west-1",
            "ap-southeast-1"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            
         ]
      }
   }
}

L'exemple suivant montre comment gérer les exigences de conformité régionales en activant Security Hub CSPM dans la plupart des régions tout en le désactivant explicitement dans des emplacements spécifiques. La disable_in_regions liste est prioritaire, ce qui garantit que Security Hub CSPM reste désactivé dans ces régions, quels que soient les autres paramètres de politique.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            "ap-east-1",
            "me-south-1"
         ]
      }
   }
}