AWS Security Hub CSPMdomande frequenti per i partner

Quali sono i vantaggi dell'integrazione CSPM di Security Hub?

Quali tipi di partner esistono?

Come funziona l'integrazione di un partner con Security Hub CSPM ad alto livello?

Raccogliete i risultati dall'interno di un account cliente o dal vostro AWS account e trasformate il formato dei risultati nel AWS Security Finding Format (ASFF). Quindi invii questi risultati all'endpoint regionale Security Hub CSPM appropriato.

Puoi anche utilizzare CloudWatch Events per ricevere risultati da Security Hub CSPM.

Quali sono i passaggi di base per completare l'integrazione con Security Hub CSPM?

Qual è la procedura per l'invio del manifesto del partner? E AWS i servizi per inviare i risultati al Security Hub CSPM?

<Per inviare le informazioni del manifesto al team CSPM di Security Hub, utilizzare securityhub-partners@amazon.com.>

Il prodotto ti verrà rilasciato ARNs entro sette giorni di calendario.

Quali tipi di risultati devo inviare a Security Hub CSPM?

I prezzi di Security Hub CSPM si basano in parte sul numero di risultati acquisiti. Per questo motivo, dovresti evitare di inviare risultati che non apportano valore ai clienti.

Ad esempio, alcuni fornitori di servizi di gestione delle vulnerabilità inviano i risultati solo con un punteggio CVSS (Common Vulnerability Scoring System) pari o superiore a 3 su un massimo di 10.

Quali sono i diversi approcci per inviare i risultati al Security Hub CSPM?

Questi sono gli approcci principali:

Per linee guida generali sull'utilizzo BatchImportFindings, vedere. Linee guida per l'utilizzo dell'API BatchImportFindings

Come posso raccogliere le mie scoperte e inviarle a un endpoint regionale CSPM Security Hub?

I partner hanno utilizzato approcci diversi a tal fine, in quanto dipende in larga misura dall'architettura della soluzione.

Ad esempio, alcuni partner creano un'app Python che può essere distribuita come script. CloudFormation Lo script raccoglie i risultati del partner dall'ambiente del cliente, li trasforma in ASFF e li invia all'endpoint regionale Security Hub CSPM.

Altri partner creano una procedura guidata completa che offre al cliente un'esperienza con un solo clic per inviare i risultati a Security Hub CSPM.

Come faccio a sapere quando iniziare a inviare i risultati al Security Hub CSPM?

Security Hub CSPM supporta l'autorizzazione parziale in batch per il funzionamento dell'BatchImportFindingsAPI, in modo da poter inviare tutti i risultati a Security Hub CSPM per tutti i clienti.

Se alcuni dei tuoi clienti non si sono ancora abbonati a Security Hub CSPM, Security Hub CSPM non acquisisce tali risultati. Ingerisce solo i risultati autorizzati presenti nel batch.

Quali passaggi devo completare per inviare i risultati all'istanza CSPM di Security Hub di un cliente?

Quali autorizzazioni IAM devono essere disponibili per poter inviare i risultati?

Le policy IAM devono essere configurate per l'utente o il ruolo IAM che chiama BatchImportFindingso altre chiamate API.

Il test più semplice è farlo da un account amministratore. Puoi limitarli a action: ‘securityhub:BatchImportFindings’ eresource: <productArn and/or productSubscriptionArn>.

Le risorse nello stesso account possono essere configurate con le policy IAM senza richiedere policy relative alle risorse.

Per escludere problemi di policy IAM da parte del chiamante di BatchImportFindings, imposta la policy IAM per il chiamante come segue:

{
    Action: 'securityhub:*',
    Effect: 'Allow',
    Resource: '*'
}

Assicurati di controllare che non vi siano Deny politiche per il chiamante. Dopo averlo fatto funzionare, puoi limitare la politica a quanto segue:

{
    Action: 'securityhub:BatchImportFindings',
    Effect: 'Allow',
    Resource: 'arn:aws:securityhub:<region>:<account>:product/mycompany/myproduct'
},
{
    Action: 'securityhub:BatchImportFindings',
    Effect: 'Allow',
    Resource: 'arn:aws:securityhub:<region>:*:product-subscription/mycompany/myproduct'
}

Che cos'è l'abbonamento a un prodotto?

Per ricevere informazioni su uno specifico prodotto del partner, il cliente (o il partner con ruoli trasversali che lavorano per conto del cliente) deve sottoscrivere un abbonamento al prodotto. Per farlo dalla console, usano la pagina Integrazioni. Per eseguire questa operazione dall'API, utilizzano l'operazione EnableImportFindingsForProductAPI.

L'abbonamento al prodotto crea una politica delle risorse che autorizza la ricezione o l'invio dei risultati del partner da parte del cliente. Per informazioni dettagliate, vedi Casi d'uso di integrazione e autorizzazioni richieste.

Security Hub CSPM offre i seguenti tipi di politiche sulle risorse per i partner:

Durante il processo di onboarding dei partner, puoi richiedere uno o entrambi i tipi di politiche.

ConBATCH_IMPORT_FINDINGS_FROM_PRODUCT_ACCOUNT, puoi inviare i risultati a Security Hub CSPM solo dall'account elencato nell'ARN del prodotto.

ConBATCH_IMPORT_FINDINGS_FROM_CUSTOMER_ACCOUNT, puoi inviare i risultati solo dall'account cliente che ti ha sottoscritto.

Supponiamo che un cliente abbia creato un account amministratore e abbia aggiunto alcuni account membro. Il cliente deve sottoscrivere ogni account membro per me? Oppure il cliente si iscrive solo dall'account amministratore e posso quindi inviare i risultati relativi alle risorse di tutti gli account dei membri?

Questa domanda chiede se le autorizzazioni vengono create per tutti gli account membro in base alla registrazione dell'account amministratore.

Il cliente deve sottoscrivere un abbonamento al prodotto per ciascun account. Possono farlo a livello di codice tramite l'API.

Qual è l'ARN del mio prodotto?

L'ARN del prodotto è l'identificatore univoco che Security Hub CSPM genera per te e che usi per inviare i risultati. Riceverai un ARN per ogni prodotto che integri con Security Hub CSPM. L'ARN corretto del prodotto deve far parte di ogni risultato inviato a Security Hub CSPM. I risultati senza l'ARN del prodotto vengono eliminati. L'ARN del prodotto utilizza il seguente formato:

arn:aws:securityhub:[region code]:[account ID]:product/[company name]/[product name]

Ecco un esempio:

arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro

Ti viene assegnato un ARN del prodotto per ogni regione in cui viene distribuito Security Hub CSPM. L'ID dell'account, l'azienda e i nomi dei prodotti sono determinati dai manifesti inviati dal partner. Non modifichi mai nessuna delle informazioni associate all'ARN del prodotto, ad eccezione del codice regionale. Il codice regionale deve corrispondere alla regione per cui invii i risultati.

Un errore comune consiste nel modificare l'ID dell'account in modo che corrisponda all'account da cui lavori attualmente. L'ID dell'account non cambia. L'ID dell'account «home» viene inviato come parte dell'invio del manifesto. Questo ID account è bloccato nell'ARN del prodotto.

Quando Security Hub CSPM viene lanciato in nuove regioni, utilizza automaticamente i codici regionali standard per generare il prodotto ARNs per tali regioni.

A ogni account viene inoltre assegnato automaticamente l'ARN di un prodotto privato. Puoi utilizzare questo ARN per testare i risultati di importazione all'interno del tuo account di sviluppo prima di ricevere l'ARN ufficiale del prodotto pubblico.

Quale formato deve essere utilizzato per inviare i risultati al Security Hub CSPM?

I risultati devono essere forniti nel AWS Security Finding Format (ASFF). Per i dettagli, vedere AWSSecurity Finding Format (ASFF) nella Guida per l'AWS Security Hubutente.

L'aspettativa è che tutte le informazioni contenute nei risultati nativi si riflettano pienamente nell'ASFF. I campi personalizzati come ProductFields e Resource.Details.Other consentono di mappare i dati che non rientrano perfettamente nei campi predefiniti.

Qual è l'endpoint regionale corretto da utilizzare?

È necessario inviare i risultati all'endpoint regionale Security Hub CSPM associato all'account cliente.

Dove posso trovare l'elenco degli endpoint regionali?

Vedi l'elenco degli endpoint CSPM di Security Hub.

Posso inviare risultati interregionali?

Security Hub CSPM non supporta ancora l'invio interregionale dei risultati per i AWS servizi nativi, come Amazon, Amazon GuardDuty Macie e Amazon Inspector. Se il cliente lo consente, Security Hub CSPM non ti impedisce di inviare risultati da diverse regioni.

In questo senso, è possibile chiamare un endpoint regionale da qualsiasi luogo e le informazioni sulle risorse dell'ASFF non devono necessariamente corrispondere alla regione dell'endpoint. Tuttavia, ProductArn deve corrispondere alla regione dell'endpoint.

Quali sono le regole e le linee guida per l'invio di batch di risultati?

È possibile raggruppare fino a 100 risultati o 240 KB in una singola chiamata di BatchImportFindings. Metti in coda e raggruppa il maggior numero possibile di risultati fino a questo limite.

Puoi raggruppare una serie di risultati provenienti da diversi account. Tuttavia, se uno degli account del batch non è sottoscritto a Security Hub CSPM, l'intero batch ha esito negativo. Si tratta di una limitazione del modello di autorizzazione di base di API Gateway.

Per informazioni, consulta Linee guida per l'utilizzo dell'API BatchImportFindings.

Posso inviare aggiornamenti ai risultati che ho creato?

Sì, se invii un risultato con lo stesso ARN del prodotto e lo stesso ID del risultato, i dati precedenti relativi a tale risultato vengono sovrascritti. Tieni presente che tutti i dati vengono sovrascritti, quindi devi inviare un risultato completo.

I clienti vengono misurati e fatturati sia per le nuove scoperte che per gli aggiornamenti dei risultati.

Posso inviare aggiornamenti ai risultati creati da qualcun altro?

Sì, se il cliente ti concede l'accesso all'operazione BatchUpdateFindingsAPI, puoi aggiornare determinati campi utilizzando tale operazione. Questa operazione è progettata per essere utilizzata dai clienti SIEMs, dai sistemi di ticketing e dalle piattaforme di Security Orchestration, Automation and Response (SOAR).

Come vengono invecchiate le scoperte?

Security Hub CSPM archivia i risultati 90 giorni dopo la data dell'ultimo aggiornamento. Trascorso questo periodo, i risultati obsoleti vengono eliminati dal cluster CSPM Security Hub. OpenSearch

Se aggiorni un risultato con lo stesso ID di ricerca ed è stato obsoleto, viene creato un nuovo risultato in Security Hub CSPM.

I clienti possono utilizzare CloudWatch Events per spostare i risultati dal CSPM di Security Hub. In questo modo è possibile inviare tutti i risultati a obiettivi scelti dal cliente.

In generale, Security Hub CSPM consiglia di creare nuovi risultati ogni 90 giorni e di non aggiornarli per sempre.

Quali limitazioni mette in atto Security Hub CSPM?

Security Hub CSPM limita le chiamate GetFindings API, poiché l'approccio consigliato per accedere ai risultati consiste nell'utilizzare gli eventi. CloudWatch

Security Hub CSPM non implementa altre limitazioni su servizi interni, partner o clienti oltre a quelle imposte dalle chiamate API Gateway e Lambda.

Qual è la tempestività, la latenza SLAs o le aspettative per i risultati che vengono inviati a Security Hub CSPM dai servizi di origine?

L'obiettivo è quello di essere il più possibile vicini al tempo reale sia per i risultati iniziali che per gli aggiornamenti dei risultati. È necessario inviare i risultati a Security Hub CSPM entro cinque minuti dalla loro creazione.

Come posso ricevere i risultati dal Security Hub CSPM?

Per ricevere i risultati, usa uno dei seguenti metodi.

Quali sono i requisiti per un provider di servizi di sicurezza gestiti (MSSP) per diventare un partner CSPM di Security Hub?

È necessario dimostrare come viene utilizzato il CSPM di Security Hub nell'ambito della fornitura di servizi ai clienti.

È necessario disporre di una documentazione per l'utente che spieghi l'uso di Security Hub CSPM.

Se l'MSSP è un provider di ricerca, deve dimostrare di aver inviato i risultati al Security Hub CSPM.

Se l'MSSP riceve solo i risultati dal CSPM di Security Hub, deve disporre almeno di un CloudFormation modello per configurare le regole Events appropriate. CloudWatch

Quali sono i requisiti per un partner di consulenza APN non MSSP per diventare un partner CSPM di Security Hub?

Se sei un partner di consulenza APN, puoi diventare un partner CSPM di Security Hub. Dovresti presentare due case study privati su come hai aiutato un cliente specifico a fare quanto segue.

I case study non devono necessariamente essere condivisi pubblicamente.

Quali sono i requisiti relativi alla modalità di implementazione della mia integrazione con Security Hub CSPM con i miei clienti?

Le architetture di integrazione tra Security Hub CSPM e i prodotti dei partner variano da partner a partner in termini di modalità di gestione della soluzione del partner. È necessario assicurarsi che il processo di configurazione per l'integrazione non richieda più di 15 minuti.

Se state implementando un software di integrazione nell'AWSambiente del cliente, dovreste sfruttare i CloudFormation modelli per semplificare l'integrazione. Alcuni partner hanno creato un'integrazione con un solo clic, che è altamente consigliata.

Quali sono i miei requisiti di documentazione?

È necessario fornire un collegamento alla documentazione che descrive il processo di integrazione e configurazione tra il prodotto e Security Hub CSPM, incluso l'uso dei CloudFormation modelli.

Tale documentazione deve includere anche informazioni sull'utilizzo di ASFF. In particolare, questo dovrebbe elencare i tipi di risultati ASFF che state utilizzando per i diversi risultati. Se disponi di definizioni di insight predefinite, ti consigliamo di includerle anche qui.

Valuta la possibilità di includere altre potenziali informazioni:

Cosa sono gli approfondimenti personalizzati?

Sei incoraggiato a definire approfondimenti personalizzati per i tuoi risultati. Gli approfondimenti sono regole di correlazione leggere che aiutano un cliente a stabilire le priorità dei risultati e delle risorse che richiedono più attenzione e azione.

Security Hub CSPM ha un funzionamento CreateInsight API. Puoi creare approfondimenti personalizzati all'interno di un account cliente come parte del tuo CloudFormation modello. Queste informazioni vengono visualizzate sulla console del cliente.

Posso inviare i widget del pannello di controllo?

No, non in questo momento. Puoi solo creare approfondimenti gestiti.

Qual è il tuo modello di prezzo?

Consulta le informazioni sui prezzi di Security Hub CSPM.

Come posso inviare i risultati all'account demo CSPM di Security Hub come parte del processo di approvazione finale per la mia integrazione?

Invia i risultati all'account demo CSPM di Security Hub utilizzando l'ARN del prodotto fornito, utilizzando us-west-2 come regione. I risultati dovrebbero includere il numero di conto demo nel AwsAccountId campo dell'ASFF. Per ottenere il numero di conto demo, contatta il team CSPM di Security Hub.

Non inviateci dati sensibili o informazioni di identificazione personale. Questi dati vengono utilizzati per dimostrazioni pubbliche. Quando ci invii questi dati, ci autorizzi a utilizzarli nelle demo.

Quali messaggi di errore o di successo fornisceBatchImportFindings?

Security Hub CSPM fornisce una risposta per l'autorizzazione e una risposta per. BatchImportFindings Sono in fase di sviluppo messaggi di successo, fallimento ed errore più nitidi.

Di quale gestione degli errori è responsabile il servizio di origine?

I servizi di origine sono responsabili di tutta la gestione degli errori. Devono gestire i messaggi di errore, i nuovi tentativi, le limitazioni e gli allarmi. Devono inoltre gestire i feedback o i messaggi di errore inviati tramite il meccanismo di feedback CSPM di Security Hub.

Quali sono le soluzioni ai problemi più comuni?

An AuthorizerConfigurationException è causato da un or malformatoAwsAccountId. ProductArn

Durante la risoluzione dei problemi, tenete presente quanto segue:

AccessDeniedExceptionè causato quando un risultato viene inviato o ricevuto dall'account sbagliato o quando l'account non dispone di un. ProductSubscription Il messaggio di errore conterrà un ARN con un tipo di product risorsa pari o. product-subscription Questo errore si verifica solo durante le chiamate tra account. Se chiami BatchImportFindingscon il tuo account per lo stesso account in AwsAccountId andProductArn, l'operazione utilizza le politiche IAM e non ha nulla a che fare conProductSubscriptions.

Assicurati che l'account cliente e l'account del prodotto che utilizzi siano gli account effettivamente registrati. Alcuni partner hanno utilizzato per il prodotto un numero di account del prodotto ARN, ma cercano di utilizzare un account completamente diverso per chiamare. BatchImportFindings In altri casi, hanno creato account ProductSubscriptions per altri clienti o addirittura per il proprio account di prodotto. Non l'hanno creato ProductSubscriptions per l'account cliente in cui hanno cercato di importare i risultati.

Dove posso inviare domande, commenti e bug?

<securityhub-partners@amazon.com>

A quale regione devo inviare i risultati per gli articoli relativi ai AWS servizi globali? Ad esempio, dove posso inviare i risultati relativi a IAM?

Invia i risultati alla stessa regione in cui è stato rilevato il risultato. Per un servizio come IAM, la tua soluzione probabilmente troverà lo stesso problema IAM in più regioni. In questo caso, il risultato viene inviato a tutte le regioni in cui è stato rilevato il problema.

Se il cliente esegue Security Hub CSPM in tre regioni e lo stesso problema IAM viene rilevato in tutte e tre le regioni, invia il risultato a tutte e tre le regioni.

Quando un problema viene risolto, invia l'aggiornamento del risultato a tutte le regioni a cui hai inviato il risultato originale.