Sugestões de controles a serem desabilitados no CSPM do Security Hub - AWSSecurity Hub
Controles que usam recursos globaisControles de registro em log do CloudTrailControles de alarmes do CloudWatch

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Sugestões de controles a serem desabilitados no CSPM do Security Hub

Recomendamos desabilitar alguns controles do CSPM do AWS Security Hub para reduzir o ruído de descobertas e os custos de utilização.

Controles que usam recursos globais

Alguns Serviços da AWS oferecem suporte a recursos globais, o que significa que é possível usar o recurso a partir de qualquer Região da AWS. Para economizar no custo do AWS Config, é possível desabilitar a gravação de recursos globais em todas as regiões, exceto uma. Depois de fazer isso, contudo, o CSPM do Security Hub ainda executará verificações de segurança em todas as regiões em que os controles estejam habilitados e fará a cobrança com base no número de verificações por conta por região. Assim, para reduzir o ruído nas descobertas e economizar no custo do CSPM do Security Hub, é necessário desabilitar também os controles que envolvam recursos globais em todas as regiões, exceto na região que os registra.

Se um controle envolve recursos globais, mas está disponível somente em uma região, desabilitá-lo nessa região impede que você obtenha descobertas para o recurso subjacente. Nesse caso, recomendamos que você mantenha o controle habilitado. Ao usar a agregação entre regiões, a região na qual o controle está disponível deve ser a região de agregação ou uma das regiões vinculadas. Os controles a seguir envolvem recursos globais, mas estão disponíveis somente em uma única região:

  • Todos os controles do CloudFront: disponíveis apenas na região Leste dos EUA (Norte da Virgínia)

  • GlobalAccelerator.1: disponível apenas na região Oeste dos EUA (Oregon)

  • Route53.2: disponível apenas na região Leste dos EUA (Norte da Virgínia)

  • WAF.1, WAF.6, WAF.7, and WAF.8: disponíveis apenas na região Leste dos EUA (Norte da Virgínia)

nota

Se você usar a configuração central, o CSPM do Security Hub desabilitará automaticamente os controles que envolvem recursos globais em todas as regiões, exceto na região inicial. Os outros controles que você escolher habilitar por meio de uma política de configuração serão habilitados em todas as regiões em que estiverem disponíveis. Para limitar as descobertas desses controles a apenas uma região, é possível atualizar suas configurações do gravador da AWS Config e desativar a gravação global de recursos em todas as regiões, exceto na região inicial.

Se um controle habilitado que envolva recursos globais não tiver suporte na região inicial, o CSPM do Security Hub tentará habilitar o controle em uma região vinculada onde haja suporte para o controle. Com a configuração central, não há cobertura para um controle que não esteja disponível na região inicial ou em alguma das regiões vinculadas.

Para obter mais informações sobre a configuração central, consulte Noções básicas sobre a configuração central no CSPM do Security Hub.

Para controles que possuem um tipo de programação periódico, é necessário desabilitá-los no CSPM do Security Hub para evitar o faturamento. A definição do parâmetro AWS Config includeGlobalResourceTypes como false não afeta os controles periódicos do CSPM do Security Hub.

Os controles do CSPM do Security Hub a seguir usam recursos globais:

Controles de registro em log do CloudTrail

O controle do CloudTrail.2 avalia o uso do AWS Key Management Service (AWS KMS) para criptografar logs de trilhas do AWS CloudTrail. Se você registrar em log essas trilhas em uma conta de registro centralizada, só precisará executar esse controle somente na conta e na Região da AWS em que o registro em log centralizado ocorre.

Se você usar a configuração central, o status de habilitação de um controle será alinhado entre a região inicial e as regiões vinculadas. Você não pode desabilitar um controle em algumas regiões e habilitá-lo em outras. Nesse caso, é possível suprimir as descobertas do controle CloudTrail.2 para reduzir o ruído de descoberta.

Controles de alarmes do CloudWatch

Se você preferir usar o Amazon GuardDuty para detecção de anomalias em vez de alarmes do Amazon CloudWatch, é possível desabilitar os controles a seguir, que se concentram em alarmes do CloudWatch.