検出結果プロバイダーの BatchImportFindings

検出結果プロバイダーは、BatchImportFindings オペレーションを使用して、AWS Security Hub CSPM に新しい検出結果を作成できます。また、このオペレーションを使用して、作成した検出結果を更新することもできます。検出結果プロバイダーは、自身が作成していない検出結果は更新できます。

お客様、SIEM、チケット発行ツール、SOARツールおよびツールの他のタイプは、検出結果プロバイダーからの検出結果の調査に関連する更新を行うために BatchUpdateFindings を使用します。詳細については、「お客様の BatchUpdateFindings」を参照してください。

Security Hub CSPM が検出結果を作成または更新する BatchImportFindings リクエストを受信すると、Amazon EventBridgeで Security Hub Findings - Imported イベントが自動的に生成されます。そのイベントに対して自動アクションを実行できます。詳細については、「EventBridge を使用した自動応答と修復」を参照してください。

BatchImportFindings を使用するための前提条件

BatchImportFindings を、次のいずれかで呼び出す必要があります。

Security Hub CSPM は、Security Hub CSPM が有効になっているアカウントの結果更新のみを受け入れます。検出結果プロバイダーも有効にする必要があります。Security Hub CSPM が無効になっているが、検出結果プロバイダーとの統合が有効になっていない場合は、検出結果は FailedFindings リストで返され、InvalidAccess エラーが表示されます。

結果を作成するか更新するかの決定

検出結果を作成するか更新するかを決定するために、Security Hub CSPM は ID フィールドをチェックします。ID の値が既存の検出結果と一致しない場合は、Security Hub CSPM は、新しい検出結果を作成します。

ID が既存の検出結果と一致する場合、Security Hub CSPM は UpdatedAt フィールドに更新がないかをチェックし、次のように処理を進めます。

BatchImportFindings による検出結果の更新の制限

検出結果プロバイダーは BatchImportFindings を使用して既存の検出結果の次の属性を更新することはできません。

Security Hub CSPM は、これらの属性の BatchImportFindings リクエストで提供されたコンテンツを無視します。お客様、またはお客様に代わって行動するエンティティ (チケット発行ツールなど) は、 BatchUpdateFindings を使用してこれらの属性を更新できます。

FindingProviderFields での検出結果の更新

検出結果プロバイダーは、AWS Security Finding 形式 (ASFF) で以下の最上位属性を更新するために BatchImportFindings を使用してはなりません。

代わりに、検出結果プロバイダーは FindingProviderFields オブジェクトを使用して、これらの属性の値を提供する必要があります。

例

"FindingProviderFields": {
    "Confidence": 42,
    "Criticality": 99,
    "RelatedFindings":[
      { 
        "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
        "Id": "123e4567-e89b-12d3-a456-426655440000" 
      }
    ],
    "Severity": {
        "Label": "MEDIUM", 
        "Original": "MEDIUM"
    },
    "Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
}

BatchImportFindings リクエストの場合、Security Hub CSPM はトップレベル属性内および FindingProviderFields 内の値を以下のとおり処理します。