Directives pour mapper les résultats dans le format ASFF ( AWS Security Finding Format) - AWS Security Hub
Informations d'identificationTitle and DescriptionTypes de résultatsHorodatagesSeverityRemediationSourceUrlMalware, Network, Process, ThreatIntelIndicatorsResourcesProductFieldsConformité d'Champs restreints

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Directives pour mapper les résultats dans le format ASFF ( AWS Security Finding Format)

Utilisez les directives suivantes pour associer vos résultats à l'ASFF. Pour une description détaillée de chaque champ et objet ASFF, voir AWS Security Finding Format (ASFF) dans le guide de l'AWS Security Hub utilisateur.

Informations d'identification

SchemaVersion est toujours 2018-10-08.

ProductArnest l'ARN qui vous AWS Security Hub est attribué.

Idest la valeur que Security Hub utilise pour indexer les résultats. L'identifiant de recherche doit être unique, afin de garantir que les autres résultats ne soient pas remplacés. Pour mettre à jour un résultat, soumettez-le à nouveau avec le même identifiant.

GeneratorIdpeut être identique Id ou faire référence à une unité logique discrète, telle qu'un identifiant de GuardDuty détecteur Amazon, un identifiant d' AWS Config enregistreur ou un identifiant d'analyseur d'accès IAM.

Title and Description

Titledoit contenir des informations sur la ressource affectée. Titleest limité à 256 caractères, espaces compris.

Ajoutez des informations plus détaillées àDescription. Descriptionest limité à 1024 caractères, espaces compris. Vous pouvez envisager d'ajouter une troncature aux descriptions. Voici un exemple :

"Title": "Instance i-12345678901 is vulnerable to CVE-2019-1234",
"Description": "Instance i-12345678901 is vulnerable to CVE-2019-1234. This vulnerability affects version 1.0.1 of widget-1 and earlier, and can lead to buffer overflow when someone sends a ping.",

Types de résultats

Vous fournissez les informations relatives au type de recherche dansFindingProviderFields.Types.

Typesdoit correspondre à la taxonomie des types pour ASFF.

Si nécessaire, vous pouvez spécifier un classificateur personnalisé (le troisième espace de noms).

Horodatages

Le format ASFF inclut plusieurs horodatages différents.

CreatedAt et UpdatedAt

Vous devez soumettre CreatedAt et UpdatedAt chaque fois que vous appelez BatchImportFindingspour chaque constatation.

Les valeurs doivent correspondre au format ISO86 01 de Python 3.8.

datetime.datetime.utcnow().replace(tzinfo=datetime.timezone.utc).isoformat()
FirstObservedAt et LastObservedAt

FirstObservedAtet LastObservedAt doit correspondre à la date à laquelle votre système a observé le résultat. Si vous n'enregistrez pas ces informations, vous n'avez pas besoin de soumettre ces horodatages.

Les valeurs correspondent au format ISO86 01 de Python 3.8.

datetime.datetime.utcnow().replace(tzinfo=datetime.timezone.utc).isoformat()

Severity

Vous fournissez des informations de gravité dans l'FindingProviderFields.Severityobjet, qui contient les champs suivants.

Original

La valeur de gravité de votre système. Originalpeut être n'importe quelle chaîne, pour s'adapter au système que vous utilisez.

Label

L'indicateur Security Hub requis pour déterminer la gravité de la constatation. Les valeurs autorisées sont les suivantes.

  • INFORMATIONAL— Aucun problème n'a été détecté.

  • LOW— Le problème ne nécessite pas d'action en soi.

  • MEDIUM— Le problème doit être traité, mais pas de toute urgence.

  • HIGH— Le problème doit être traité en priorité.

  • CRITICAL— Le problème doit être résolu immédiatement pour éviter de nouveaux dommages.

Les résultats conformes devraient toujours être Label définis surINFORMATIONAL. Des exemples de INFORMATIONAL résultats sont les résultats des contrôles de sécurité réussis et AWS Firewall Manager les résultats corrigés.

Les clients trient souvent les résultats en fonction de leur gravité pour donner à leurs équipes chargées des opérations de sécurité une liste de tâches. Soyez prudent lorsque vous définissez la gravité du résultat sur HIGH ouCRITICAL.

Votre documentation d'intégration doit inclure la justification de votre mappage.

Remediation

Remediationcomporte deux éléments. Ces éléments sont combinés sur la console Security Hub.

Remediation.Recommendation.Textapparaît dans la section Remédiation des détails des résultats. Il est lié par un hyperlien à la valeur de. Remediation.Recommendation.Url

À l'heure actuelle, seuls les résultats issus des normes Security Hub, d'IAM Access Analyzer et de Firewall Manager affichent des hyperliens vers la documentation expliquant comment remédier à ces résultats.

SourceUrl

À utiliser uniquement SourceUrl si vous pouvez fournir une URL contenant un lien profond vers votre console pour cette recherche spécifique. Sinon, omettez-le du mappage.

Security Hub ne prend pas en charge les hyperliens provenant de ce champ, mais ils sont exposés sur la console Security Hub.

Malware, Network, Process, ThreatIntelIndicators

Le cas échéantMalware, utilisez NetworkProcess, ouThreatIntelIndicators. Chacun de ces objets est exposé dans la console Security Hub. Utilisez ces objets dans le contexte du résultat que vous envoyez.

Par exemple, si vous détectez un logiciel malveillant qui établit une connexion sortante avec un nœud de commande et de contrôle connu, fournissez les détails de l' EC2 instance dansResource.Details.AwsEc2Instance. Fournissez les ThreatIntelIndicator objets et pertinents Malware pour cette EC2 instance. Network

Malware

Malwareest une liste qui accepte jusqu'à cinq ensembles d'informations sur les malwares. Faites en sorte que les entrées de malwares correspondent à la ressource et à la découverte.

Chaque entrée comporte les champs suivants.

Name

Le nom du logiciel malveillant. La valeur est une chaîne de 64 caractères maximum.

Namedoit provenir d'une source approuvée de renseignements sur les menaces ou de chercheurs.

Path

Le chemin d'accès au logiciel malveillant. La valeur est une chaîne de 512 caractères maximum. Pathdoit être un chemin de fichier système Linux ou Windows, sauf dans les cas suivants.

  • Si vous scannez des objets d'un compartiment S3 ou d'un partage EFS conformément aux règles YARA, le chemin de l'objet S3 ://ou HTTPS Path est alors indiqué.

  • Si vous scannez des fichiers dans un dépôt Git, Path c'est l'URL Git ou le chemin du clone.

State

État du logiciel malveillant. Les valeurs autorisées sont OBSERVED | REMOVAL_FAILED |REMOVED.

Dans le titre et la description de la recherche, assurez-vous de fournir un contexte expliquant ce qui s'est passé avec le logiciel malveillant.

Par exemple, si tel Malware.State est le casREMOVED, le titre et la description de la recherche doivent indiquer que votre produit a supprimé le logiciel malveillant situé sur le chemin.

Si Malware.State tel est le casOBSERVED, le titre et la description de la recherche doivent indiquer que votre produit a détecté ce malware situé sur le chemin.

Type

Indique le type de logiciel malveillant. Les valeurs autorisées sont ADWARE BLENDED_THREAT BOTNET_AGENT COIN_MINER | EXPLOIT_KIT | KEYLOGGER | MACRO POTENTIALLY_UNWANTED | SPYWARE | RANSOMWARE REMOTE_ACCESS | ROOTKIT | TROJAN VIRUS | | WORM

Si vous avez besoin d'une valeur supplémentaire pourType, contactez l'équipe Security Hub.

Network

Networkest un objet unique. Vous ne pouvez pas ajouter plusieurs informations relatives au réseau. Lorsque vous mappez les champs, suivez les instructions suivantes.

Informations sur la destination et la source

La destination et la source permettent de mapper facilement les journaux de flux TCP ou VPC ou les journaux WAF. Ils sont plus difficiles à utiliser lorsque vous décrivez des informations réseau pour découvrir une attaque.

Généralement, la source est l'origine de l'attaque, mais elle peut avoir d'autres sources, comme indiqué ci-dessous. Vous devez expliquer la source dans votre documentation et également la décrire dans le titre et la description de la recherche.

  • Pour une attaque DDo S sur une EC2 instance, la source est l'attaquant, bien qu'une véritable attaque DDo S puisse utiliser des millions d'hôtes. La destination est l' IPv4 adresse publique de l' EC2 instance. Directionest IN.

  • Pour les programmes malveillants observés en train de communiquer entre une EC2 instance et un nœud de commande et de contrôle connu, la source est l' IPV4 adresse de l' EC2 instance. La destination est le nœud de commande et de contrôle. DirectionestOUT. Vous fourniriez également Malware etThreatIntelIndicators.

Protocol

Protocolcorrespond toujours à un nom enregistré par l'Internet Assigned Numbers Authority (IANA), sauf si vous pouvez fournir un protocole spécifique. Vous devez toujours l'utiliser et fournir les informations de port.

Protocolest indépendant des informations relatives à la source et à la destination. Ne le fournissez que lorsque cela a du sens.

Direction

Directionest toujours relatif aux limites du AWS réseau.

  • INsignifie qu'il entre AWS (VPC, service).

  • OUTsignifie qu'il sort des limites du AWS réseau.

Process

Processest un objet unique. Vous ne pouvez pas ajouter plusieurs détails relatifs au processus. Lorsque vous mappez les champs, suivez les instructions suivantes.

Name

Namedoit correspondre au nom de l'exécutable. Il accepte jusqu'à 64 caractères.

Path

Pathest le chemin du système de fichiers vers le fichier exécutable du processus. Il accepte jusqu'à 512 caractères.

Pid, ParentPid

Pidet ParentPid doit correspondre à l'identifiant de processus Linux (PID) ou à l'identifiant d'événement Windows. Pour vous différencier, utilisez EC2 Amazon Machine Images (AMI) pour fournir les informations. Les clients peuvent probablement faire la différence entre Windows et Linux.

Horodatages (et) LaunchedAt TerminatedAt

Si vous ne pouvez pas récupérer ces informations de manière fiable et qu'elles ne sont pas précises à la milliseconde près, ne les fournissez pas.

Si un client se fie à des horodatages pour une enquête médico-légale, il vaut mieux ne pas avoir d'horodatage qu'un mauvais horodatage.

ThreatIntelIndicators

ThreatIntelIndicatorsaccepte un ensemble de cinq objets de renseignement sur les menaces au maximum.

Pour chaque entrée, Type c'est dans le contexte de la menace spécifique. Les valeurs autorisées sont DOMAIN EMAIL_ADDRESS | HASH_MD5 HASH_SHA1 | HASH_SHA256 | HASH_SHA512 | IPV4_ADDRESS | IPV6_ADDRESS MUTEX | PROCESS | | URL

Voici quelques exemples de la façon de cartographier les indicateurs de renseignement sur les menaces :

  • Vous avez trouvé un processus dont vous savez qu'il est associé à Cobalt Strike. Vous l'avez appris sur FireEye le blog de.

    Définissez Type sur PROCESS. Créez également un Process objet pour le processus.

  • Votre filtre de messagerie a détecté quelqu'un qui envoyait un package haché bien connu à partir d'un domaine malveillant connu.

    Créez deux ThreatIntelIndicator objets. Un objet est pour leDOMAIN. L'autre est pour leHASH_SHA1.

  • Vous avez trouvé un logiciel malveillant avec une règle de Yara (Loki, Fenrir, VirusScan Awss3,). BinaryAlert

    Créez deux ThreatIntelIndicator objets. L'un concerne le malware. L'autre est pour leHASH_SHA1.

Resources

Pour celaResources, utilisez les types de ressources et les champs de détail que nous avons fournis dans la mesure du possible. Security Hub ajoute constamment de nouvelles ressources à l'ASFF. Pour recevoir un journal mensuel des modifications apportées à ASFF, contactez

Si vous ne parvenez pas à ajuster les informations contenues dans les champs de détails pour un type de ressource modélisé, associez les autres détails àDetails.Other.

Pour une ressource qui n'est pas modélisée dans ASFF, définissez surType. Other Pour obtenir des informations détaillées, utilisezDetails.Other.

Vous pouvez également utiliser le type de Other ressource pour les AWS non-résultats.

ProductFields

À utiliser uniquement ProductFields si vous ne pouvez pas utiliser un autre champ sélectionné Resources ou un objet descriptif tel que ThreatIntelIndicatorsNetwork, ouMalware.

Si vous en consommezProductFields, vous devez fournir une justification stricte pour cette décision.

Conformité d'

À utiliser uniquement Compliance si vos conclusions sont liées à la conformité.

Security Hub utilise Compliance les résultats qu'il génère sur la base des contrôles.

Firewall Manager Compliance les utilise pour ses résultats, car ils sont liés à la conformité.

Champs restreints

Ces champs sont destinés aux clients pour qu'ils puissent suivre leur enquête sur un résultat.

Ne mappez pas ces champs ou ces objets.

  • Note

  • UserDefinedFields

  • VerificationState

  • Workflow

Pour ces champs, faites correspondre les champs présents dans l'FindingProviderFieldsobjet. Ne mappez pas aux champs de niveau supérieur.

  • Confidence— N'incluez un score de confiance (0-99) que si votre service possède une fonctionnalité similaire ou si vous vous en tenez à votre résultat à 100 %.

  • Criticality— Le score de criticité (0-99) vise à exprimer l'importance de la ressource associée à la découverte.

  • RelatedFindings— Ne fournissez des résultats connexes que si vous pouvez suivre les résultats liés à la même ressource ou au même type de recherche. Pour identifier un résultat connexe, vous devez vous référer à l'identifiant d'un résultat qui se trouve déjà dans Security Hub.