Les traductions sont fournies par des outils de traduction automatique. En cas de conflit entre le contenu d'une traduction et celui de la version originale en anglais, la version anglaise prévaudra.

Règles d'automatisation dans Security Hub

Avec Security Hub, vous pouvez automatiser des tâches telles que la mise à jour, la recherche de détails et la création de tickets pour des intégrations tierces.

Règles d'automatisation et Régions AWS

Les règles d'automatisation peuvent être créées en une seule, Région AWS puis appliquées à toutes les configurations Régions AWS. Lorsque vous utilisez l'agrégation de régions, vous ne pouvez créer des règles que dans la région d'origine. Lorsque vous créez des règles dans la région d'origine, toutes les règles que vous définissez sont appliquées à toutes les régions liées, sauf si vos critères de règles excluent une région liée spécifique. Vous devez créer une règle d'automatisation pour toute région qui n'est pas une région liée.

Actions et critères relatifs aux règles

Les règles d'automatisation de Security Hub utilisent des critères pour référencer les attributs OCSF dans les résultats de Security Hub. Par exemple, les filtres pris en charge pour le Criteria paramètre dans CreateAutomationRuleV2 correspondent aux filtres pris en charge pour le Filters paramètre dans GetFindings V2. Cela signifie que les filtres utilisés dans les règles d'automatisation peuvent être utilisés pour obtenir des résultats. Security Hub prend en charge les champs OCSF suivants pour les critères des règles d'automatisation.

Pour les critères étiquetés comme des champs de chaîne, l'utilisation de différents opérateurs de filtre sur le même champ affecte la logique d'évaluation. Pour plus d'informations, consultez le StringFilter document de référence de l'API Security Hub.

Chaque critère prend en charge un nombre maximum de valeurs pouvant être utilisées pour filtrer les résultats correspondants. Pour connaître les limites de chaque critère, consultez OcsfFindingFilters la référence de l'API Security Hub

Champs OCSF pouvant être mis à jour

Les champs OCSF qui peuvent être mis à jour à l'aide de règles d'automatisation sont les suivants.

Comment les règles d'automatisation évaluent les résultats

Une règle d'automatisation évalue les résultats nouveaux et mis à jour que Security Hub génère ou ingère une fois que vous avez créé la règle.

Les règles d'automatisation évaluent les résultats originaux fournis par le fournisseur. Les fournisseurs peuvent fournir de nouveaux résultats et mettre à jour les résultats existants grâce à leur intégration à Security Hub. Les règles ne sont pas déclenchées lorsque vous mettez à jour les champs de recherche après leur création par le biais de l'BatchUpdateFindingsV2opération. Si vous créez une règle d'automatisation et effectuez une BatchUpdateFindingsV2 mise à jour qui affecte le même champ de recherche, la dernière mise à jour définit la valeur de ce champ. Prenons l'exemple suivant :

Vous utilisez BatchUpdateFindingsV2 pour mettre à jour le Status champ d'un résultat de New àIn Process. Si vous appelezGetFindingsV2, le Status champ a désormais une valeur deIn Process. Vous créez une règle d'automatisation qui change le Status champ de la découverte de New à Suppressed (n'oubliez pas que les règles ignorent les mises à jour effectuées avecBatchUpdateFindingsV2). Le fournisseur de recherche met à jour le résultat et remplace le Status champ parNew. Si vous appelezGetFindingsV2, la valeur du Status champ est désormais la suivante Suppressed : la règle d'automatisation a été appliquée et cette règle a été la dernière action entreprise suite à la découverte.

Lorsque vous créez ou modifiez une règle sur la console Security Hub, celle-ci affiche un aperçu des résultats qui correspondent aux critères de la règle. Alors que les règles d'automatisation évaluent les résultats originaux envoyés par le fournisseur de la recherche, l'aperçu de la console reflète les résultats dans leur état final, tels qu'ils seraient affichés dans une réponse à l'opération de l'GetFindingsV2API (c'est-à-dire après l'application d'actions de règles ou d'autres mises à jour à la découverte).

Comment les règles d'automatisation sont ordonnées

Un ordre de règles est attribué à chaque règle d'automatisation. Cela détermine l'ordre dans lequel Security Hub applique vos règles d'automatisation et devient important lorsque plusieurs règles concernent le même champ de recherche ou de recherche.

Lorsque plusieurs actions de règle concernent la même recherche ou le même champ de recherche, la règle dont la valeur numérique est la plus élevée pour l'ordre des règles s'applique en dernier et a l'effet ultime.

Lorsque vous créez une règle dans la console Security Hub, Security Hub attribue automatiquement l'ordre des règles en fonction de l'ordre de création des règles. La première règle que vous créez aura un ordre de règle de 1. Lorsqu'il existe plusieurs règles, chaque règle créée par la suite aura la valeur numérique disponible la plus élevée suivante pour l'ordre des règles.

Lorsque vous créez une règle via CreateAutomationRuleV2 l'API ou AWS CLI, Security Hub applique la règle dont la valeur numérique est la plus faible en RuleOrder premier. Il applique ensuite les règles suivantes dans l'ordre croissant. Si plusieurs résultats sont identiquesRuleOrder, Security Hub applique d'abord une règle avec une valeur antérieure pour le UpdatedAt champ (c'est-à-dire que la règle modifiée la plus récente s'applique en dernier).

Vous pouvez modifier l'ordre des règles à tout moment.

Exemple d'ordre des règles  :

Règle A (l'ordre des règles est1)  :

Règle B (l'ordre des règles est2)  :

Tout d'abord, les actions de la Règle A s'appliquent aux résultats de Security Hub qui correspondent aux critères de la Règle A. Les actions de la Règle B s'appliquent ensuite aux résultats de Security Hub avec l'ID de compte spécifié. Dans cet exemple, étant donné que la règle B s'applique Severity en dernier, la valeur finale des résultats provenant de l'ID de compte spécifié estINFORMATIONAL. Sur la base de l'action de la Règle A, la valeur Confidence finale des résultats correspondants est95.

Third-party intégrations

Vous pouvez utiliser des règles d'automatisation pour créer des tickets pour les intégrations avec Jira Cloud etServiceNow ITSM. Pour plus d'informations, consultez la section Création d'une règle pour une intégration tierce.

Scénarios dans lesquels les règles d'automatisation ne fonctionnent pas

Voici les scénarios dans lesquels les règles d'automatisation ne fonctionnent pas.

Dans ces scénarios, un membre d'une organisation peut gérer les règles d'automatisation en effectuant des opérations de liste, d'obtention et de suppression dans les API AWS CLI ou.

Lorsqu'une région non liée devient une région liée, l'administrateur délégué ou le compte autonome peut gérer les ressources d'une région liée en effectuant des opérations de liste, d'obtention et de suppression.