View a markdown version of this page

Mise en place d'une norme de sécurité - AWS Hub de sécurité
Activation d'une norme dans plusieurs comptes et Régions AWSActivation d'une norme dans un seul compte et Région AWSVérifier l'état d'une norme

Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Mise en place d'une norme de sécurité

Lorsque vous activez une norme de sécurité dans AWS Security Hub CSPM, Security Hub CSPM crée et active automatiquement tous les contrôles qui s'appliquent à la norme. Security Hub CSPM commence également à exécuter des contrôles de sécurité et à générer des résultats pour les contrôles.

Pour optimiser la couverture et la précision des résultats, activez et configurez l'enregistrement des ressources AWS Config avant d'activer une norme. Lorsque vous configurez l'enregistrement des ressources, veillez également à l'activer pour tous les types de ressources qui sont vérifiés par les contrôles qui s'appliquent à la norme. Dans le cas contraire, Security Hub CSPM pourrait ne pas être en mesure d'évaluer les ressources appropriées et de générer des résultats précis pour les contrôles qui s'appliquent à la norme. Pour de plus amples informations, veuillez consulter Activation et configuration AWS Config pour Security Hub CSPM.

Les normes de sécurité multicloud, telles que CIS Azure Foundations Benchmark v4.0.0, ont des exigences différentes des normes. AWS Les normes multicloud nécessitent un connecteur CSPM Security Hub pour le fournisseur de cloud externe et ne vous obligent pas à configurer AWS Config ou à créer manuellement un enregistreur de configuration. Le connecteur multicloud Security Hub CSPM configure automatiquement un enregistreur lié à un service pour évaluer les ressources dans l'environnement cloud externe.

Après avoir activé une norme, vous pouvez désactiver ou réactiver ultérieurement les contrôles individuels qui s'appliquent à la norme. Si vous désactivez un contrôle pour une norme, Security Hub CSPM arrête de générer des résultats pour le contrôle. En outre, Security Hub CSPM ignore le contrôle lorsqu'il calcule le score de sécurité de la norme. Le score de sécurité est le pourcentage de contrôles qui ont réussi l'évaluation, par rapport au nombre total de contrôles qui s'appliquent à la norme, sont activés et comportent des données d'évaluation.

Lorsque vous activez une norme, Security Hub CSPM génère un score de sécurité préliminaire pour la norme, généralement dans les 30 minutes suivant votre première visite sur la page Résumé ou sur les normes de sécurité de la console Security Hub CSPM. Les scores de sécurité sont générés uniquement pour les normes activées lorsque vous visitez ces pages sur la console. De plus, l'enregistrement des ressources doit être configuré AWS Config pour que les scores apparaissent. Dans les régions de Chine et AWS GovCloud (US) Regions, la génération d'un score de sécurité préliminaire pour une norme par Security Hub CSPM peut prendre jusqu'à 24 heures. Une fois que Security Hub CSPM a généré un score préliminaire, il le met à jour toutes les 24 heures. Pour déterminer la date de dernière mise à jour d'un score de sécurité, vous pouvez vous référer à l'horodatage fourni par Security Hub CSPM pour le score. Pour de plus amples informations, veuillez consulter Calcul des scores de sécurité.

La manière dont vous activez une norme varie selon que vous utilisez une configuration centralisée pour gérer Security Hub CSPM pour plusieurs comptes et. Régions AWS Nous vous recommandons d'utiliser la configuration centrale si vous souhaitez activer les normes dans des environnements multicomptes et multirégions. Vous pouvez utiliser la configuration centralisée si vous intégrez Security Hub CSPM à. AWS Organizations Si vous n'utilisez pas la configuration centralisée, vous devez activer chaque norme séparément dans chaque compte et chaque région.

Activation d'une norme dans plusieurs comptes et Régions AWS

Pour activer et configurer une norme de sécurité sur plusieurs comptes Régions AWS, utilisez la configuration centralisée. Grâce à la configuration centralisée, l'administrateur délégué de Security Hub CSPM peut créer des politiques de configuration CSPM de Security Hub qui activent une ou plusieurs normes. L'administrateur peut ensuite associer une politique de configuration à des comptes individuels, à des unités organisationnelles (UO) ou à la racine. Une politique de configuration affecte la région d'origine, également appelée région d'agrégation, et toutes les régions liées.

Les politiques de configuration offrent des options de personnalisation. Par exemple, vous pouvez choisir d'activer uniquement la norme FSBP ( AWS Foundational Security Best Practices) pour une unité d'organisation. Pour une autre unité d'organisation, vous pouvez choisir d'activer à la fois la norme FSBP et la norme Center for Internet Security (CIS) AWS Foundations Benchmark v1.4.0. Pour plus d'informations sur la création d'une politique de configuration qui active les normes spécifiques que vous spécifiez, consultezCréation et association de politiques de configuration.

Si vous utilisez une configuration centralisée, Security Hub CSPM n'active automatiquement aucune norme dans les comptes nouveaux ou existants. Au lieu de cela, l'administrateur Security Hub CSPM spécifie les normes à activer dans les différents comptes lorsqu'il crée des politiques de configuration Security Hub CSPM pour son organisation. Security Hub CSPM propose une politique de configuration recommandée dans laquelle seule la norme FSBP est activée. Pour de plus amples informations, veuillez consulter Types de politiques de configuration.

Note

L'administrateur CSPM de Security Hub peut utiliser des politiques de configuration pour activer n'importe quelle norme à l'exception de la norme gérée par les AWS Control Tower services. Pour activer cette norme, l'administrateur doit utiliser AWS Control Tower directement. Ils doivent également utiliser AWS Control Tower pour activer ou désactiver les contrôles individuels de cette norme pour un compte géré de manière centralisée.

Si vous souhaitez que certains comptes activent et configurent des normes pour leurs propres comptes, l'administrateur CSPM de Security Hub peut désigner ces comptes comme des comptes autogérés. Self-managed les comptes doivent activer et configurer les normes séparément dans chaque région.

Activation d'une norme dans un seul compte et Région AWS

Si vous n'utilisez pas la configuration centralisée ou si vous possédez un compte autogéré, vous ne pouvez pas utiliser de politiques de configuration pour activer les normes de sécurité de manière centralisée sur plusieurs comptes ou Régions AWS. Cependant, vous pouvez activer une norme dans un seul compte et une seule région. Vous pouvez le faire à l'aide de la console Security Hub CSPM ou de l'API Security Hub CSPM.

Security Hub CSPM console

Suivez ces étapes pour activer une norme dans un compte et une région à l'aide de la console Security Hub CSPM.

Pour activer une norme dans un compte et une région

  1. Ouvrez la console AWS Security Hub CSPM à l'adresse. https://console.aws.amazon.com/securityhub/

  2. À l'aide du Région AWS sélecteur situé dans le coin supérieur droit de la page, choisissez la région dans laquelle vous souhaitez activer la norme.

  3. Dans le volet de navigation, sélectionnez Normes de sécurité. La page Normes de sécurité répertorie toutes les normes actuellement prises en charge par Security Hub CSPM. Si vous avez déjà activé une norme, la section relative à la norme inclut le score de sécurité actuel et des informations supplémentaires sur la norme.

  4. Dans la section correspondant à la norme que vous souhaitez activer, choisissez Activer la norme.

Pour activer la norme dans d'autres régions, répétez les étapes précédentes dans chaque région supplémentaire.

Security Hub CSPM API

Pour activer une norme par programmation dans un seul compte et une seule région, utilisez l'BatchEnableStandardsopération. Ou, si vous utilisez le AWS Command Line Interface (AWS CLI), exécutez la batch-enable-standards commande.

Dans votre demande, utilisez le StandardsArn paramètre pour spécifier l'Amazon Resource Name (ARN) de la norme que vous souhaitez activer. Spécifiez également la région à laquelle s'applique votre demande. Par exemple, la commande suivante active la norme FSBP ( AWS Foundational Security Best Practices) :

$ aws securityhub batch-enable-standards \
--standards-subscription-requests '{"StandardsArn":"arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"}' \
--region us-east-1

Où se arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0 trouve l'ARN de la norme FSBP dans la région de l'Est des États-Unis (Virginie du Nord) et us-east-1 la région dans laquelle l'activer.

Pour obtenir l'ARN d'une norme, utilisez l'DescribeStandardsopération ou, si vous utilisez le AWS CLI, exécutez la describe-standards commande.

Pour consulter d'abord la liste des normes actuellement activées sur votre compte, vous pouvez utiliser l'GetEnabledStandardsopération. Si vous utilisez le AWS CLI, vous pouvez exécuter la commande get-enabled-standards pour récupérer cette liste.

Une fois que vous avez activé une norme, Security Hub CSPM commence à effectuer des tâches pour activer la norme dans le compte et la région spécifiée. Cela inclut la création de tous les contrôles qui s'appliquent à la norme. Pour suivre l'état de ces tâches, vous pouvez vérifier l'état de la norme pour le compte et la région.

Vérifier l'état d'une norme

Lorsque vous activez une norme de sécurité pour un compte, Security Hub CSPM commence à créer tous les contrôles qui s'appliquent à la norme dans le compte. Security Hub CSPM effectue également des tâches supplémentaires pour activer la norme pour le compte, telles que la génération d'un score de sécurité préliminaire pour la norme. Pendant que Security Hub CSPM exécute ces tâches, le statut de la norme est celui du Pending compte. L'état de la norme passe ensuite par des états supplémentaires, que vous pouvez surveiller et vérifier.

Note

Les modifications apportées aux contrôles individuels d'une norme n'affectent pas l'état général de la norme. Par exemple, si vous activez un contrôle que vous avez précédemment désactivé, votre modification n'affectera pas le statut de la norme. De même, si vous modifiez la valeur d'un paramètre pour un contrôle activé, votre modification n'affecte pas le statut de la norme.

Pour vérifier l'état d'une norme à l'aide de la console Security Hub CSPM, sélectionnez Normes de sécurité dans le volet de navigation. La page Normes de sécurité répertorie toutes les normes actuellement prises en charge par Security Hub CSPM. Si Security Hub CSPM effectue actuellement des tâches pour activer la norme, la section relative à la norme indique que Security Hub CSPM génère toujours un score de sécurité pour la norme. Si une norme est activée, la section de la norme inclut le score actuel. Choisissez Afficher les résultats pour consulter des informations supplémentaires, notamment l'état des contrôles individuels qui s'appliquent à la norme. Pour de plus amples informations, veuillez consulter Planification de l'exécution des vérifications de sécurité.

Pour vérifier l'état d'une norme par programmation à l'aide de l'API Security Hub CSPM, utilisez l'opération. GetEnabledStandards Dans votre demande, utilisez éventuellement le StandardsSubscriptionArns paramètre pour spécifier l'Amazon Resource Name (ARN) de la norme dont vous souhaitez vérifier le statut. Si vous utilisez le AWS Command Line Interface (AWS CLI), vous pouvez exécuter la commande get-enabled-standards pour vérifier l'état d'une norme. Pour spécifier l'ARN de la norme à vérifier, utilisez le standards-subscription-arns paramètre. Pour déterminer l'ARN à spécifier, vous pouvez utiliser l'DescribeStandardsopération ou, pour le AWS CLI, exécuter la describe-standards commande.

Si votre demande aboutit, Security Hub CSPM répond avec un tableau d'objets. StandardsSubscription Un abonnement standard est une AWS ressource que Security Hub CSPM crée dans un compte lorsqu'une norme est activée pour ce compte. Chaque StandardsSubscription objet fournit des informations sur une norme actuellement activée ou en cours d'activation ou de désactivation pour le compte. Dans chaque objet, le StandardsStatus champ indique l'état actuel de la norme pour le compte.

Le statut d'une norme (StandardsStatus) peut être l'un des suivants.

PENDING

Security Hub CSPM exécute actuellement des tâches visant à activer la norme pour le compte. Cela inclut la création des contrôles qui s'appliquent à la norme et la génération d'un score de sécurité préliminaire pour la norme. L'exécution de toutes les tâches par Security Hub CSPM peut prendre plusieurs minutes. Une norme peut également avoir ce statut si elle est déjà activée pour le compte et si Security Hub CSPM ajoute actuellement de nouveaux contrôles à la norme.

Si une norme possède ce statut, il est possible que vous ne puissiez pas récupérer les détails des contrôles individuels qui s'appliquent à la norme. En outre, il se peut que vous ne puissiez pas configurer ou désactiver des commandes individuelles pour la norme. Par exemple, si vous essayez de désactiver un contrôle à l'aide de cette UpdateStandardsControl opération, une erreur se produit.

Pour déterminer si vous pouvez configurer ou gérer des contrôles individuels pour la norme, reportez-vous à la valeur du StandardsControlsUpdatable champ. Si la valeur de ce champ estREADY_FOR_UPDATES, vous pouvez commencer à gérer les contrôles individuels pour la norme. Sinon, attendez que Security Hub CSPM termine des tâches de traitement supplémentaires pour activer la norme.

READY

La norme est actuellement activée pour le compte. Security Hub CSPM peut effectuer des contrôles de sécurité et générer des résultats pour tous les contrôles qui s'appliquent à la norme et qui sont actuellement activés. Security Hub CSPM peut également calculer un score de sécurité pour la norme.

Si une norme possède ce statut, vous pouvez récupérer les détails des contrôles individuels qui s'appliquent à la norme. En outre, vous pouvez configurer, désactiver ou réactiver les commandes. Vous pouvez également désactiver la norme.

INCOMPLETE

Security Hub CSPM n'a pas été en mesure d'activer complètement la norme pour le compte. Security Hub CSPM ne peut pas exécuter de contrôles de sécurité et générer des résultats pour tous les contrôles qui s'appliquent à la norme et qui sont actuellement activés. De plus, Security Hub CSPM ne peut pas calculer de score de sécurité pour la norme.

Pour les normes multicloud, l'abonnement entre INCOMPLETE avec un statut pour la raison suivante : NO_AVAILABLE_MULTICLOUD_CONNECTOR si vous activez la norme sans connecteur CSPM. L'abonnement passe automatiquement au READY moment où un connecteur devient disponible.

Pour déterminer pourquoi la norme n'a pas pu être complètement activée, reportez-vous aux informations du StandardsStatusReason tableau. Ce tableau indique les problèmes qui ont empêché Security Hub CSPM d'activer la norme. Si une erreur interne s'est produite, essayez de réactiver la norme pour le compte. Pour d'autres types de problèmes, vérifiez vos AWS Config paramètres. Vous pouvez également désactiver des commandes individuelles que vous ne souhaitez pas vérifier, ou désactiver complètement la norme.

DELETING

Security Hub CSPM traite actuellement une demande visant à désactiver la norme pour le compte. Cela inclut la désactivation des contrôles qui s'appliquent à la norme et la suppression du score de sécurité associé. Le traitement de la demande par Security Hub CSPM peut prendre plusieurs minutes.

Si un standard possède ce statut, vous ne pouvez pas le réactiver ou essayer de le désactiver à nouveau pour le compte. Security Hub CSPM doit d'abord terminer le traitement de la demande en cours. De plus, vous ne pouvez pas récupérer les détails des contrôles individuels qui s'appliquent à la norme ni gérer les contrôles.

FAILED

Security Hub CSPM n'a pas pu désactiver la norme pour le compte. Une ou plusieurs erreurs se sont produites lorsque Security Hub CSPM a tenté de désactiver la norme. De plus, Security Hub CSPM ne peut pas calculer de score de sécurité pour la norme.

Pour déterminer pourquoi la norme n'a pas été complètement désactivée, reportez-vous aux informations du StandardsStatusReason tableau. Ce tableau indique les problèmes qui ont empêché Security Hub CSPM de désactiver la norme.

Si une norme possède ce statut, vous ne pouvez pas récupérer les détails des contrôles individuels qui s'appliquent à la norme ni gérer les contrôles. Vous pouvez toutefois réactiver la norme pour le compte. Si vous résolvez les problèmes qui ont empêché Security Hub CSPM de désactiver la norme, vous pouvez également essayer de la désactiver à nouveau.

Si le statut d'une norme est définiREADY, Security Hub CSPM effectue des contrôles de sécurité et génère des résultats pour tous les contrôles qui s'appliquent à la norme et sont actuellement activés. Pour les autres statuts, Security Hub CSPM peut exécuter des contrôles et générer des résultats pour certains contrôles activés, mais pas pour tous. La génération ou la mise à jour des résultats de contrôle peuvent prendre jusqu'à 24 heures. Pour de plus amples informations, veuillez consulter Planification de l'exécution des vérifications de sécurité.