AWS のサービス Security Hub CSPM との統合

Security Hub CSPM のすべての検出結果は、ASFF の標準 JSON 形式を使用します。ASFF には、検出結果のオリジン、影響を受けるリソース、および検出結果の現在のステータスに関する詳細が含まれます。 は、マネージドルールとカスタムルールの評価を EventBridge 経由で Security Hub CSPM AWS Config に送信します。Security Hub CSPM は、ルール評価を ASFF に従う結果に変換し、ベストエフォートベースで結果を強化します。

が Security Hub CSPM AWS Config に送信する検出結果のタイプ

統合がアクティブ化されると、 はすべての AWS Config マネージドルールとカスタムルールの評価を Security Hub CSPM AWS Config に送信します。Security Hub CSPM が有効になった後に実行された評価のみが送信されます。たとえば、 AWS Config ルール評価で 5 つの失敗したリソースが明らかになったとします。その後 Security Hub CSPM を有効にし、ルールが 6 番目に失敗したリソースを明らかにした場合、 は 6 番目のリソース評価のみを Security Hub CSPM AWS Config に送信します。

Security Hub CSPM コントロールでチェックを実行するために使用されるルールなど、サービスにリンクされた AWS Config ルールの評価は除外されます。

Security Hub CSPM に AWS Config 結果を送信する

統合がアクティブ化されると、Security Hub CSPM は検出結果の受信に必要なアクセス許可を自動的に割り当てます AWS Config。Security Hub CSPM はservice-to-serviceレベルのアクセス許可を使用します。 AWS Config EventBridge

結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Config を作成すると、通常、5 分以内に Security Hub CSPM で検出結果を表示できます。

Security Hub CSPM が利用できない場合の再試行

AWS Config は EventBridge を通じてベストエフォートベースで Security Hub CSPM に検出結果を送信します。イベントが Security Hub CSPM に正常に配信されない場合、EventBridge は最大 24 時間または 185 回のいずれか早い方まで配信を再試行します。

Security Hub CSPM での既存の AWS Config 検出結果の更新

は、Security Hub CSPM に検出結果 AWS Config を送信すると、同じ検出結果の更新を Security Hub CSPM に送信して、検出結果アクティビティの追加の観察結果を反映することができます。更新は ComplianceChangeNotification イベントについてのみ送信されます。コンプライアンスの変更が発生しない場合、更新は Security Hub CSPM に送信されません。Security Hub CSPM は、最新の更新から 90 日後、または更新が発生しない場合は作成から 90 日後に検出結果を削除します。

Security Hub CSPM は、関連付けられたリソースを削除 AWS Config しても、 から送信された結果をアーカイブしません。

AWS Config 検出結果が存在するリージョン

AWS Config 検出結果はリージョンベースで発生します。 は、検出結果が発生したのと同じリージョンの Security Hub CSPM に検出結果 AWS Config を送信します。

AWS Config 検出結果を表示するには、Security Hub CSPM ナビゲーションペインから検出結果を選択します。検出結果をフィルタリングして AWS Config 検出結果のみを表示するには、検索バーのドロップダウンで製品名を選択します。[Config] (設定) をクリックし、[Apply] (適用) を選択します。

Security Hub CSPM で AWS Config の検出結果名の解釈

Security Hub CSPM は、 AWS Config ルール評価を AWS Config .rule 評価に従う結果に変換しますAWS Security Finding 形式 (ASFF)。ASFF とは異なるイベントパターンを使用します。次の表は、 AWS Config Security Hub CSPM に表示されるルール評価フィールドと ASFF の対応するフィールドをマッピングしています。

重要度ラベルの解釈

AWS Config ルール評価のすべての検出結果には、ASFF のデフォルトの重要度ラベル MEDIUM があります。結果の重要度ラベルは、BatchUpdateFindings API オペレーションで更新できます。

からの一般的な検出結果 AWS Config

Security Hub CSPM は、 AWS Config ルール評価を ASFF に従う検出結果に変換します。ASFF AWS Config の からの一般的な検出結果の例を次に示します。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

Security Hub CSPM を有効にすると、この統合は自動的にアクティブ化されます。 は AWS Config すぐに Security Hub CSPM に結果の送信を開始します。

Security Hub CSPM への検出結果の送信を停止するには、Security Hub CSPM コンソールまたは Security Hub CSPM API を使用できます。

検出結果のフローを停止する手順については、「Security Hub CSPM 統合からの検出結果のフローの有効化」を参照してください。

Security Hub CSPM では、セキュリティの問題は検出結果として追跡されます。一部の検出結果は、他の AWS サービスまたはサードパーティーパートナーによって検出された問題から発生します。Security Hub CSPM には、セキュリティの問題を検出し、検出結果を生成するために使用される一連のルールもあります。

Security Hub CSPM には、これらのすべてのソースで の検出結果を管理するためのツールが用意されています。結果の一覧を表示およびフィルタリングして、結果の詳細を表示できます。「Security Hub CSPM での検出結果の詳細と履歴の確認」を参照してください。結果の調査状況を追跡することもできます。「Security Hub CSPM での検出結果のワークフローステータスの設定」を参照してください。

Security Hub CSPM のすべての検出結果は、 と呼ばれる標準の JSON 形式を使用しますAWS Security Finding 形式 (ASFF)。ASFF には、問題のソース、影響を受けるリソース、および結果の現在の状態に関する詳細が含まれます。

AWS Health は、Security Hub CSPM に結果を送信する AWS サービスの 1 つです。

が Security Hub CSPM AWS Health に送信する検出結果のタイプ

統合を有効にすると、 はリストされている 1 つ以上の仕様を満たす検出結果を Security Hub CSPM AWS Health に送信します。Security Hub CSPM は、 に検出結果を取り込みますAWS Security Finding 形式 (ASFF)。

Security Hub CSPM に AWS Health 結果を送信する

から検出結果を受け入れることを選択すると AWS Health、Security Hub CSPM は検出結果の受信に必要なアクセス許可を自動的に割り当てます AWS Health。Security Hub CSPM はservice-to-serviceレベルのアクセス許可を使用して、この統合を有効にし、ユーザーに代わって Amazon EventBridge AWS Health を介して から検出結果をインポートする安全かつ簡単な方法を提供します。Accept Findings を選択すると、Security Hub に結果を使用するアクセス許可が付与されます AWS Health。

結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Health を作成すると、通常 5 分以内に Security Hub CSPM に送信されます。

Security Hub CSPM が利用できない場合の再試行

AWS Health は EventBridge を通じてベストエフォートベースで Security Hub CSPM に検出結果を送信します。イベントが Security Hub CSPM に正常に配信されない場合、EventBridge はイベントの送信を 24 時間再試行します。

Security Hub CSPM での既存の検出結果の更新

AWS Health が Security Hub CSPM に検出結果を送信すると、同じ検出結果に更新を送信して、検出結果アクティビティの追加の観察結果を Security Hub CSPM にリフレクションできます。

結果が存在するリージョン

グローバルイベントの場合、 は、us-east-1 (AWS パーティション）、cn-northwest-1 (中国パーティション）、gov-us-west-1 (GovCloud パーティション) の Security Hub CSPM に結果 AWS Health を送信します。 は、イベントが発生するのと同じリージョンの Security Hub CSPM にリージョン固有のイベント AWS Health を送信します。

Security Hub CSPM で検出 AWS Health 結果を表示するには、ナビゲーションパネルから検出結果を選択します。検出結果をフィルタリングして AWS Health 検出結果のみを表示するには、製品名フィールドからヘルスを選択します。

Security Hub CSPM で AWS Health の検出結果名の解釈

AWS Health は、 を使用して検出結果を Security Hub CSPM に送信しますAWS Security Finding 形式 (ASFF)。 AWS Health 検出では、Security Hub CSPM ASFF 形式とは異なるイベントパターンが使用されます。次の表は、Security Hub CSPM に表示される ASFF に対応するすべての AWS Health 検出結果フィールドの詳細を示しています。

重要度ラベルの解釈

ASFF 結果の重要度ラベルは、次のロジックを使用して決定されます。

からの一般的な検出結果 AWS Health

AWS Health は、 を使用して Security Hub CSPM に検出結果を送信しますAWS Security Finding 形式 (ASFF)。以下は、 からの一般的な検出結果の例です AWS Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

Security Hub CSPM を有効にすると、この統合は自動的にアクティブ化されます。 は AWS Health すぐに Security Hub CSPM に結果の送信を開始します。

Security Hub CSPM への検出結果の送信を停止するには、Security Hub CSPM コンソールまたは Security Hub CSPM API を使用できます。

検出結果のフローを停止する手順については、「Security Hub CSPM 統合からの検出結果のフローの有効化」を参照してください。