AWS のサービス Security Hub CSPM との統合

Security Hub CSPM のすべての検出結果は、ASFF という標準 JSON 形式を使用します。ASFF には、検出結果のオリジン、影響を受けるリソース、および検出結果の現在のステータスに関する詳細が含まれます。 はEventBridge を介して Security Hub CSPM にマネージドルールとカスタムルールの評価 AWS Config を送信します。Security Hub CSPM は、ルール評価を ASFF に従う検出結果に変換し、ベストエフォートベースで検出結果を強化します。

AWS Config が Security Hub CSPM に送信する検出結果の種類

統合がアクティブ化されると、 はすべての AWS Config マネージドルールとカスタムルールの評価を Security Hub CSPM AWS Config に送信します。Security Hub CSPM が有効になった後に実行された評価のみが送信されます。例えば、 AWS Config ルール評価で 5 つの失敗したリソースが明らかになったとします。その後、Security Hub CSPM を有効にし、ルールが 6 番目の失敗したリソースを明らかにした場合、 AWS Config は 6 番目のリソース評価のみを Security Hub CSPM に送信します。

Security Hub CSPM コントロールのチェックを実行するために使用されるルールなど、サービスにリンクされた AWS Config ルールの評価は除外されます。例外は、 が で AWS Control Tower 作成および管理するサービスにリンクされたルールによって生成された結果です AWS Config。これらのルールの結果を含めると、結果データに によって実行されたプロアクティブチェックの結果が含まれるようになります AWS Control Tower。

AWS Config の検出結果を Security Hub CSPM に送信する

統合が有効化されると、Security Hub CSPM は AWS Configの検出結果を受信するために必要な許可を、自動的に割り当てます。Security Hub CSPM はservice-to-serviceレベルのアクセス許可を使用します。 AWS Config EventBridge

検出結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Config を作成すると、通常 5 分以内に Security Hub CSPM で検出結果を表示できます。

Security Hub CSPM が使用できない場合の再試行

AWS Config は、EventBridge を通じてベストエフォートベースで検出結果を Security Hub CSPM に送信します。イベントが Security Hub CSPM に正常に配信されなかった場合、EventBridge は最大で 24 時間または 185 回の、いずれか早い方で配信を再試行します。

Security Hub CSPM での既存の AWS Config 検出結果の更新

AWS Config は、Security Hub CSPM に検出結果を送信すると、同じ検出結果の更新を Security Hub CSPM に送信して、検出結果アクティビティの追加の観察結果を反映することができます。更新は ComplianceChangeNotification イベントについてのみ送信されます。コンプライアンスの変更が行われない場合、更新は Security Hub CSPM に送信されません。Security Hub CSPM では、検出結果は、最新の更新から 90 日後、または更新が行われない場合は作成日から 90 日後に削除されます。

Security Hub CSPM は、関連付けられたリソースを削除 AWS Config しても、 から送信された検出結果をアーカイブしません。

AWS Config 検出結果が存在するリージョン

AWS Config 検出結果はリージョンベースで発生します。 は、検出結果が発生したのと同じリージョンの Security Hub CSPM に検出結果 AWS Config を送信します。

AWS Config 検出結果を表示するには、Security Hub CSPM ナビゲーションペインから検出結果を選択します。検出結果をフィルタリングして AWS Config 検出結果のみを表示するには、検索バーのドロップダウンで製品名を選択します。[Config] (設定) をクリックし、[Apply] (適用) を選択します。

Security Hub CSPM で AWS Config の検出結果名の解釈

Security Hub CSPM は、 AWS Config ルール評価を ルール評価に従う結果に変換しますAWS Security Finding 形式 (ASFF)。 AWS Config ルール評価では、ASFF とは異なるイベントパターンが使用されます。次の表は、 AWS Config ルールの評価フィールドとそれに対応する ASFF を、Security Hub CSPM に表示される通りにまとめたものです。

重要度ラベルの解釈

AWS Config ルール評価のすべての検出結果には、ASFF のデフォルトの重要度ラベル MEDIUM があります。結果の重要度ラベルは、BatchUpdateFindings API オペレーションで更新できます。

からの一般的な検出結果 AWS Config

Security Hub CSPM は、 AWS Config ルール評価を ASFF に従う検出結果に変換します。ASFF AWS Config の からの一般的な検出結果の例を次に示します。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

Security Hub CSPM を有効にすると、この統合が自動的に有効になり、 AWS Config が Security Hub CSPM への検出結果を即座に送信開始します。

Security Hub CSPM への検出結果の送信を停止するには、Security Hub CSPM コンソールまたは Security Hub CSPM API を使用します。

検出結果のフローを停止する手順については、「Security Hub CSPM からの検出結果のフローを有効化」を参照してください。

Security Hub CSPM では、セキュリティの問題が検出結果として追跡されます。一部の検出結果は、他の AWS サービスまたはサードパーティーパートナーによって検出された問題から発生します。Security Hub CSPM には、セキュリティの問題を検出し、検出結果を生成するために使用する一連のルールもあります。

Security Hub CSPM には、これらすべてのソースからの検出結果を管理するためのツールが用意されています。検出結果の一覧を表示およびフィルタリングして、検出結果の詳細を表示できます。「Security Hub CSPM での検出結果詳細と検出結果履歴のレビュー」を参照してください。結果の調査状況を追跡することもできます。「Security Hub CSPM 検出結果のワークフローステータスの設定」を参照してください。

Security Hub CSPM のすべての検出結果で、AWS Security Finding 形式 (ASFF) と呼ばれる標準の JSON 形式が使用されます。ASFF には、問題のソース、影響を受けるリソース、および結果の現在の状態に関する詳細が含まれます。

AWS Health は、Security Hub CSPM に結果を送信する AWS サービスの 1 つです。

AWS Health が Security Hub CSPM に送信する検出結果の種類

統合を有効にすると、 はリストされている 1 つ以上の仕様を満たす検出結果を Security Hub CSPM AWS Health に送信します。Security Hub CSPM は、AWS Security Finding 形式 (ASFF) で検出結果を取り込みます。

AWS Health の検出結果を Security Hub CSPM に送信する

から検出結果を受け入れることを選択すると AWS Health、Security Hub CSPM は検出結果の受信に必要なアクセス許可を自動的に割り当てます AWS Health。Security Hub CSPM はservice-to-serviceレベルのアクセス許可を使用して、この統合を有効にし、ユーザーに代わって Amazon EventBridge AWS Health 経由で から検出結果をインポートする安全かつ簡単な方法を提供します。[検出結果を受け入れる] を選択すると、 AWS Healthの検出結果を使用する許可が Security Hub CSPM に付与されます。

検出結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Health を作成すると、通常 5 分以内に Security Hub CSPM に送信されます。

Security Hub CSPM が使用できない場合の再試行

AWS Health は、EventBridge を通じてベストエフォートベースで検出結果を Security Hub CSPM に送信します。イベントが Security Hub CSPM に正常に配信されない場合、EventBridge は 24 時間のイベントの送信を再試行します。

Security Hub CSPM の既存の検出結果を更新する

AWS Health は、Security Hub CSPM に検出結果を送信した後、同じ検出結果に更新を送信して、検出結果アクティビティの追加の観察結果を Security Hub CSPM にリフレクションできます。

検出結果が存在するリージョン

グローバルイベントの場合、 は、us-east-1 (AWS パーティション）、cn-northwest-1 (中国パーティション）、gov-us-west-1 (GovCloud パーティション) の Security Hub CSPM に結果 AWS Health を送信します。 は、イベントが発生するのと同じリージョンの Security Hub CSPM にリージョン固有のイベント AWS Health を送信します。

Security Hub CSPM で検出 AWS Health 結果を表示するには、ナビゲーションパネルから検出結果を選択します。検出結果をフィルタリングして AWS Health 検出結果のみを表示するには、製品名フィールドからヘルスを選択します。

Security Hub CSPM で AWS Health の検出結果名の解釈

AWS Health は、 を使用して検出結果を Security Hub CSPM に送信しますAWS Security Finding 形式 (ASFF)。 AWS Health 検出では、Security Hub CSPM ASFF 形式とは異なるイベントパターンが使用されます。次の表は、Security Hub CSPM に表示される ASFF に対応するすべての AWS Health 検出結果フィールドの詳細を示しています。

重要度ラベルの解釈

ASFF 結果の重要度ラベルは、次のロジックを使用して決定されます。

からの一般的な検出結果 AWS Health

AWS Health は、 を使用して Security Hub CSPM に結果を送信しますAWS Security Finding 形式 (ASFF)。以下は、 からの一般的な検出結果の例です AWS Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

Security Hub CSPM を有効にすると、この統合が自動的に有効になり、 AWS Health が Security Hub CSPM への検出結果を即座に送信開始します。

Security Hub CSPM への検出結果の送信を停止するには、Security Hub CSPM コンソールまたは Security Hub CSPM API を使用します。

検出結果のフローを停止する手順については、「Security Hub CSPM からの検出結果のフローを有効化」を参照してください。