Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Syntaxe et exemples de politiques du Security Hub

Les politiques de Security Hub suivent une syntaxe JSON standardisée qui définit la manière dont Security Hub est activé et configuré au sein de votre organisation. La compréhension de la structure des politiques vous aide à créer des politiques efficaces répondant à vos exigences de sécurité.

Considérations

Avant de créer des politiques Security Hub, comprenez les points essentiels suivants concernant la syntaxe des politiques :

Structure politique de base

Une politique Security Hub utilise cette structure de base :

{
  "securityhub": {
    "enable_in_regions": {
      "@@append": ["ALL_SUPPORTED"],
      "@@operators_allowed_for_child_policies": ["@@all"]
    },
    "disable_in_regions": {
      "@@append": [],
      "@@operators_allowed_for_child_policies": ["@@all"]
    }
  }
}

Une politique Security Hub peut également inclure une features carte facultative pour gérer les fonctionnalités optionnelles du Security Hub, telles que l'analyse du réseau, au sein de votre organisation. La features carte n'est disponible que dans AWS les régions commerciales.

{
  "securityhub": {
    "enable_in_regions": {
      "@@assign": ["ALL_SUPPORTED"],
      "@@operators_allowed_for_child_policies": ["@@all"]
    },
    "disable_in_regions": {
      "@@assign": [],
      "@@operators_allowed_for_child_policies": ["@@all"]
    },
    "features": {
      "network_scanning": {
        "enable_in_regions": {
          "@@assign": ["us-east-1", "us-west-2"],
          "@@operators_allowed_for_child_policies": ["@@all"]
        },
        "disable_in_regions": {
          "@@assign": [],
          "@@operators_allowed_for_child_policies": ["@@all"]
        }
      }
    }
  }
}

Composants de politique

Les politiques du Security Hub contiennent les éléments clés suivants :

Exemples de politiques relatives au Security Hub

Les exemples suivants illustrent les configurations de politique courantes du Security Hub.

L'exemple ci-dessous active Security Hub dans toutes les régions actuelles et futures. En l'utilisant ALL_SUPPORTED dans la enable_in_regions liste et en la laissant disable_in_regions vide, cette politique garantit une couverture de sécurité complète à mesure que de nouvelles régions seront disponibles.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            
         ]
      }
   }
}

Cet exemple désactive Security Hub dans toutes les régions, y compris les futures régions, car la disable_in_regions liste a priorité sur. enable_in_regions

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      }
   }
}

L'exemple suivant montre comment les politiques relatives aux enfants peuvent modifier les paramètres des politiques parentes à l'aide d'opérateurs d'héritage. Cette approche permet un contrôle granulaire tout en préservant la structure globale des politiques. La politique relative aux enfants ajoute une nouvelle région enable_in_regions et en supprime unedisable_in_regions.

{
   "securityhub":{
      "enable_in_regions":{
         "@@append":[
            "eu-central-1"
         ]
      },
      "disable_in_regions":{
         "@@remove":[
            "us-west-2"
         ]
      }
   }
}

Cet exemple montre comment activer Security Hub dans plusieurs régions spécifiques sans utiliserALL_SUPPORTED. Cela permet de contrôler avec précision les régions dans lesquelles Security Hub est activé, tout en laissant les régions non spécifiées non gérées par la politique.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2",
            "eu-west-1",
            "ap-southeast-1"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            
         ]
      }
   }
}

L'exemple suivant montre comment gérer les exigences de conformité régionales en activant Security Hub dans la plupart des régions tout en le désactivant explicitement dans des emplacements spécifiques. La disable_in_regions liste a priorité, ce qui garantit que Security Hub reste désactivé dans ces régions, quels que soient les autres paramètres de politique.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[
            "ap-east-1",
            "me-south-1"
         ]
      }
   }
}

L'exemple suivant active Security Hub dans deux régions et active l'analyse du réseau dans ces mêmes régions. La features carte n'est disponible que dans AWS les régions commerciales.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2"
         ]
      },
      "disable_in_regions":{
         "@@assign":[

         ]
      },
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@assign":[
                  "us-east-1",
                  "us-west-2"
               ]
            },
            "disable_in_regions":{
               "@@assign":[

               ]
            }
         }
      }
   }
}

Cet exemple active Security Hub dans trois régions, mais n'autorise l'analyse du réseau que dans deux d'entre elles. Danseu-west-1, Security Hub est activé alors que l'analyse du réseau n'est pas gérée par la politique, car cette région ne figure dans aucune des listes de fonctionnalités.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2",
            "eu-west-1"
         ]
      },
      "disable_in_regions":{
         "@@assign":[

         ]
      },
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@assign":[
                  "us-east-1",
                  "us-west-2"
               ]
            },
            "disable_in_regions":{
               "@@assign":[

               ]
            }
         }
      }
   }
}

L'exemple suivant active l'analyse réseau us-east-1 et la désactive dansus-west-2. En raison disable_in_regions de la priorité, l'analyse du réseau reste désactivée us-west-2 même lorsqu'une région apparaît dans les deux listes.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "us-east-1",
            "us-west-2"
         ]
      },
      "disable_in_regions":{
         "@@assign":[

         ]
      },
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@assign":[
                  "us-east-1"
               ]
            },
            "disable_in_regions":{
               "@@assign":[
                  "us-west-2"
               ]
            }
         }
      }
   }
}

Cet exemple permet de maintenir Security Hub activé dans toutes les régions actuelles et futures tout en désactivant l'analyse du réseau dans toutes les régions, car la disable_in_regions liste est prioritaire.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[

         ]
      },
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@assign":[

               ]
            },
            "disable_in_regions":{
               "@@assign":[
                  "ALL_SUPPORTED"
               ]
            }
         }
      }
   }
}

Cet exemple active Security Hub dans toutes les régions actuelles et futures et laisse l'analyse du réseau non gérée par la politique en utilisant des listes de fonctionnalités vides. Cela a le même effet que d'omettre la features carte.

{
   "securityhub":{
      "enable_in_regions":{
         "@@assign":[
            "ALL_SUPPORTED"
         ]
      },
      "disable_in_regions":{
         "@@assign":[

         ]
      },
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@assign":[

               ]
            },
            "disable_in_regions":{
               "@@assign":[

               ]
            }
         }
      }
   }
}

L'exemple suivant montre comment une politique enfant peut étendre les régions d'analyse réseau d'une politique parent à l'aide d'opérateurs d'héritage. La politique relative aux enfants ajoute une région à la enable_in_regions liste héritée@@append, de la même manière que l'héritage fonctionne sur les listes de régions de niveau supérieur.

{
   "securityhub":{
      "features":{
         "network_scanning":{
            "enable_in_regions":{
               "@@append":[
                  "us-west-2"
               ]
            }
         }
      }
   }
}