AWS 서비스 Security Hub CSPM과의 통합

Security Hub CSPM의 모든 결과는 표준 JSON 형식의 ASFF를 사용합니다. ASFF에는 결과의 출처, 영향을 받는 리소스 및 결과의 현재 상태에 대한 세부 정보가 포함됩니다.는 EventBridge를 통해 관리형 및 사용자 지정 규칙 평가를 Security Hub CSPM으로 AWS Config 보냅니다. Security Hub CSPM은 규칙 평가를 ASFF를 따르는 조사 결과로 변환하고 최대한 조사 결과를 보강합니다.

가 Security Hub CSPM으로 AWS Config 보내는 조사 결과 유형

통합이 활성화되면는 모든 AWS Config 관리형 규칙 및 사용자 지정 규칙에 대한 평가를 Security Hub CSPM으로 AWS Config 전송합니다. Security Hub CSPM이 활성화된 후 수행된 평가만 전송됩니다. 예를 들어 AWS Config 규칙 평가에서 실패한 리소스가 5개 있다고 가정해 보겠습니다. 그런 다음 Security Hub CSPM을 활성화하면 규칙에서 여섯 번째 실패한 리소스를 공개하고는 여섯 번째 리소스 평가만 Security Hub CSPM으로 AWS Config 전송합니다.

Security Hub CSPM 제어에서 검사를 실행하는 데 사용되는 규칙과 같은 서비스 연결 AWS Config 규칙의 평가는 제외됩니다.

Security Hub CSPM으로 AWS Config 조사 결과 전송

통합이 활성화되면 Security Hub CSPM은 결과를 수신하는 데 필요한 권한을 자동으로 할당합니다 AWS Config. Security Hub CSPM은이 통합을 활성화하고 Amazon EventBridge를 AWS Config 통해에서 결과를 가져올 수 있는 안전한 방법을 제공하는 service-to-service 수준 권한을 사용합니다.

조사 결과 전송 지연 시간

에서 새 결과를 AWS Config 생성할 때 일반적으로 5분 이내에 Security Hub CSPM에서 결과를 볼 수 있습니다.

Security Hub CSPM을 사용할 수 없는 경우 재시도

AWS Config 는 EventBridge를 통해 최대한 결과를 Security Hub CSPM에 전송합니다. 이벤트가 Security Hub CSPM으로 성공적으로 전송되지 않으면 EventBridge는 최대 24시간 또는 185회 중 먼저 도래하는 시간 동안 전송을 재시도합니다.

Security Hub CSPM에서 기존 AWS Config 조사 결과 업데이트

가 Security Hub CSPM에 조사 결과를 AWS Config 전송한 후 동일한 조사 결과에 대한 업데이트를 Security Hub CSPM에 전송하여 조사 결과에 대한 추가 관찰 결과를 반영할 수 있습니다. 업데이트는 ComplianceChangeNotification 이벤트에 대해서만 전송됩니다. 규정 준수 변경이 발생하지 않으면 업데이트가 Security Hub CSPM으로 전송되지 않습니다. Security Hub CSPM은 최신 업데이트 후 90일 또는 업데이트가 발생하지 않는 경우 생성 후 90일 시점에 조사 결과를 삭제합니다.

Security Hub CSPM은 연결된 리소스를 삭제 AWS Config 하더라도에서 전송된 조사 결과를 보관하지 않습니다.

AWS Config 조사 결과가 존재하는 리전

AWS Config 조사 결과는 리전별로 발생합니다.는 조사 결과가 발생한 동일한 리전 또는 리전의 Security Hub CSPM에 조사 결과를 AWS Config 전송합니다.

AWS Config 조사 결과를 보려면 Security Hub CSPM 탐색 창에서 조사 결과를 선택합니다. 조사 결과를 필터링하여 AWS Config 조사 결과만 표시하려면 검색 창 드롭다운에서 제품 이름을 선택합니다. 구성을 입력하고 적용을 선택합니다.

Security Hub CSPM에서 AWS Config 결과 이름 해석

Security Hub CSPM은 AWS Config 규칙 평가를를 따르는 조사 결과로 변환합니다AWS Security Finding 형식(ASFF). AWS Config 규칙 평가는 ASFF와 다른 이벤트 패턴을 사용합니다. 다음 표에서는 AWS Config 규칙 평가 필드를 Security Hub CSPM에 표시된 ASFF 필드와 매핑합니다.

심각도 레이블 해석

AWS Config 규칙 평가의 모든 결과에는 ASFF의 기본 심각도 레이블이 MEDIUM입니다. BatchUpdateFindings API 작업을 통해 조사 결과의 심각도 레이블을 업데이트할 수 있습니다.

의 일반적인 결과 AWS Config

Security Hub CSPM은 AWS Config 규칙 평가를 ASFF를 따르는 조사 결과로 변환합니다. 다음은 ASFF에서 AWS Config 의 일반적인 조사 결과의 예입니다.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

Security Hub CSPM을 활성화하면이 통합이 자동으로 활성화됩니다. AWS Config 즉시 Security Hub CSPM으로 조사 결과를 보내기 시작합니다.

Security Hub CSPM으로 조사 결과 전송을 중지하려면 Security Hub CSPM 콘솔 또는 Security Hub CSPM API를 사용할 수 있습니다.

조사 결과의 흐름을 중지하는 방법에 대한 지침은 Security Hub CSPM 통합의 결과 흐름 활성화 섹션을 참조하세요.

Security Hub CSPM에서 보안 문제는 조사 결과로 추적됩니다. 일부 결과는 다른 AWS 서비스 또는 타사 파트너가 감지한 문제에서 비롯됩니다. Security Hub CSPM에는 보안 문제를 감지하고 결과를 생성하는 데 사용하는 규칙 세트도 있습니다.

Security Hub CSPM은 이러한 모든 소스에서 결과를 관리할 수 있는 도구를 제공합니다. 사용자는 조사 결과 목록을 조회하고 필터링할 수 있으며 주어진 조사 결과의 세부 정보를 조회할 수도 있습니다. Security Hub CSPM에서 조사 결과 세부 정보 및 기록 검토 섹션을 참조하세요. 또한 주어진 조사 결과에 대한 조사 상태를 추적할 수도 있습니다. Security Hub CSPM에서 조사 결과의 워크플로 상태 설정을(를) 참조하세요.

Security Hub CSPM의 모든 결과는 라는 표준 JSON 형식을 사용합니다AWS Security Finding 형식(ASFF). ASFF에는 문제의 출처, 영향을 받은 리소스와 조사 결과의 현재 상태 등에 관한 세부 정보가 포함됩니다.

AWS Health 는 Security Hub CSPM에 결과를 보내는 AWS 서비스 중 하나입니다.

가 Security Hub CSPM으로 AWS Health 보내는 조사 결과 유형

통합이 활성화되면는 나열된 사양 중 하나 이상을 충족하는 결과를 Security Hub CSPM으로 AWS Health 보냅니다. Security Hub CSPM은에서 조사 결과를 수집합니다AWS Security Finding 형식(ASFF).

Security Hub CSPM으로 AWS Health 조사 결과 전송

조사 결과를 수락하도록 선택하면 AWS Health Security Hub CSPM은 조사 결과를 수신하는 데 필요한 권한을 자동으로 할당합니다 AWS Health. Security Hub CSPM은 service-to-service 수준 권한을 사용합니다. AWS Health EventBridge 결과 수락을 선택하면 Security Hub CSPM에 결과를 사용할 수 있는 권한이 부여됩니다 AWS Health.

조사 결과 전송 지연 시간

가 새 결과를 AWS Health 생성하면 일반적으로 5분 이내에 Security Hub CSPM으로 전송됩니다.

Security Hub CSPM을 사용할 수 없는 경우 재시도

AWS Health 는 EventBridge를 통해 최대한 결과를 Security Hub CSPM에 전송합니다. 이벤트가 Security Hub CSPM으로 성공적으로 전달되지 않으면 EventBridge는 24시간 동안 이벤트 전송을 재시도합니다.

Security Hub CSPM에서 기존 조사 결과 업데이트

가 Security Hub CSPM에 조사 결과를 AWS Health 전송한 후 동일한 조사 결과에 대한 업데이트를 전송하여 조사 결과에 대한 추가 관찰 결과를 Security Hub CSPM에 반영할 수 있습니다.

조사 결과가 존재하는 리전

글로벌 이벤트의 경우는 us-east-1(AWS 파티션), cn-northwest-1(중국 파티션) 및 gov-us-west-1(GovCloud 파티션)의 Security Hub CSPM으로 조사 결과를 AWS Health 전송합니다.는 이벤트가 발생하는 동일한 리전 또는 리전의 Security Hub CSPM으로 리전별 이벤트를 AWS Health 전송합니다.

Security Hub CSPM에서 AWS Health 조사 결과를 보려면 탐색 패널에서 조사 결과를 선택합니다. 조사 결과를 필터링하여 AWS Health 조사 결과만 표시하려면 제품 이름 필드에서 상태를 선택합니다.

Security Hub CSPM에서 AWS Health 결과 이름 해석

AWS Health 는를 사용하여 조사 결과를 Security Hub CSPM으로 전송합니다AWS Security Finding 형식(ASFF). AWS Health 검색은 Security Hub CSPM ASFF 형식과 다른 이벤트 패턴을 사용합니다. 아래 표에는 Security Hub CSPM에 나타나는 ASFF와 일치하는 모든 AWS Health 결과 필드가 자세히 나와 있습니다.

심각도 레이블 해석

ASFF 조사 결과의 심각도 레이블은 다음 논리를 사용하여 결정됩니다.

의 일반적인 결과 AWS Health

AWS Health 는를 사용하여 Security Hub CSPM으로 조사 결과를 전송합니다AWS Security Finding 형식(ASFF). 다음은 일반적인 결과의 예입니다 AWS Health.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

Security Hub CSPM을 활성화하면이 통합이 자동으로 활성화됩니다. AWS Health 즉시 Security Hub CSPM으로 조사 결과를 보내기 시작합니다.

Security Hub CSPM으로 결과 전송을 중지하려면 Security Hub CSPM 콘솔 또는 Security Hub CSPM API를 사용할 수 있습니다.

조사 결과의 흐름을 중지하는 방법에 대한 지침은 Security Hub CSPM 통합의 결과 흐름 활성화 섹션을 참조하세요.