Erforderliche ASFF-Attribute der obersten Ebene

Die folgenden Attribute der obersten Ebene im AWS Security Finding Format (ASFF) sind für alle Ergebnisse in Security Hub CSPM erforderlich. Weitere Informationen zu diesen Attributen finden Sie AwsSecurityFinding in der AWS Security Hub API-Referenz.

AwsAccountId

Die AWS-Konto ID, für die das Ergebnis gilt.

Beispiel

"AwsAccountId": "111111111111"

CreatedAt

Gibt an, wann das potenzielle Sicherheitsproblem oder Ereignis, das von einem Ergebnis erfasst wurde, verursacht wurde.

Beispiel

"CreatedAt": "2017-03-22T13:22:13.933Z"

Description

Die Beschreibung eines Fundes. Dieses Feld kann unspezifischen Standardtext oder spezifische Details für die Instance des Fundes enthalten.

Für Kontrollergebnisse, die Security Hub CSPM generiert, enthält dieses Feld eine Beschreibung der Kontrolle.

Dieses Feld bezieht sich nicht auf einen Standard, wenn Sie konsolidierte Kontrollergebnisse aktivieren.

Beispiel

"Description": "This AWS control checks whether AWS Config is enabled in the current account and Region."

GeneratorId

Die Kennung für die lösungsspezifische Komponente (eine separate Logikeinheit), die einen Fund generiert hat.

Für Kontrollergebnisse, die Security Hub CSPM generiert, bezieht sich dieses Feld nicht auf einen Standard, wenn Sie konsolidierte Kontrollergebnisse aktivieren.

Beispiel

"GeneratorId": "security-control/Config.1"

Id

Die produktspezifische Kennung für einen Fund. Für Kontrollergebnisse, die Security Hub CSPM generiert, enthält dieses Feld den Amazon-Ressourcennamen (ARN) des Ergebnisses.

Dieses Feld bezieht sich nicht auf einen Standard, wenn Sie konsolidierte Kontrollergebnisse aktivieren.

Beispiel

"Id": "arn:aws:securityhub:eu-central-1:123456789012:security-control/iam.9/finding/ab6d6a26-a156-48f0-9403-115983e5a956"

ProductArn

Der von Security Hub CSPM generierte Amazon-Ressourcenname (ARN), der ein Produkt eines Drittanbieters eindeutig identifiziert, nachdem das Produkt bei Security Hub CSPM registriert wurde.

Das Format des Felds ist arn:partition:securityhub:region:account-id:product/company-id/product-id.

Beispiel

// Private ARN
    "ProductArn": "arn:aws:securityhub:us-east-1:111111111111:product/111111111111/default"

// Public ARN
    "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty"
    "ProductArn": "arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro"

Ressourcen

Das Resources Array von Objekten bietet eine Reihe von Ressourcendatentypen, die die AWS Ressourcen beschreiben, auf die sich das Ergebnis bezieht. Einzelheiten zu den Feldern, die ein Resources Objekt enthalten kann, einschließlich der Felder, die erforderlich sind, finden Sie Resource in der AWS Security Hub-API-Referenz. Beispiele für spezielle Resources Objekte finden Sie AWS-Services unterRessourcen ASFF-Objekt.

Beispiel

"Resources": [
  {
    "ApplicationArn": "arn:aws:resource-groups:us-west-2:123456789012:group/SampleApp/1234567890abcdef0",
    "ApplicationName": "SampleApp",
    "DataClassification": {
    "DetailedResultsLocation": "Path_to_Folder_Or_File",
    "Result": {
        "MimeType": "text/plain",
        "SizeClassified": 2966026,
        "AdditionalOccurrences": false,
        "Status": {
            "Code": "COMPLETE",
            "Reason": "Unsupportedfield"
        },
       "SensitiveData": [
            {
                "Category": "PERSONAL_INFORMATION",
                "Detections": [
                    {
                        "Count": 34,
                        "Type": "GE_PERSONAL_ID",
                        "Occurrences": {
                            "LineRanges": [
                                {
                                    "Start": 1,
                                    "End": 10,
                                    "StartColumn": 20
                                }
                            ],
                            "Pages": [],
                            "Records": [],
                            "Cells": []
                        }
                    },
                    {
                        "Count": 59,
                        "Type": "EMAIL_ADDRESS",
                        "Occurrences": {
                            "Pages": [
                                {
                                    "PageNumber": 1,
                                    "OffsetRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                     },
                                    "LineRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                    }
                                }
                            ]
                        }
                    },
                    {
                        "Count": 2229,
                        "Type": "URL",
                        "Occurrences": {
                           "LineRanges": [
                               {
                                   "Start": 1,
                                   "End": 13
                               }
                           ]
                       }
                   },
                   {
                       "Count": 13826,
                       "Type": "NameDetection",
                       "Occurrences": {
                            "Records": [
                                {
                                    "RecordIndex": 1,
                                    "JsonPath": "$.ssn.value"
                                }
                            ]
                        }
                   },
                   {
                       "Count": 32,
                       "Type": "AddressDetection"
                   }
               ],
               "TotalCount": 32
           }
        ],
        "CustomDataIdentifiers": {
            "Detections": [
                 {
                     "Arn": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Name": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Count": 2
                 }
            ],
            "TotalCount": 2
        }
    }
},
	"Type": "AwsEc2Instance",
	"Id": "arn:aws:ec2:us-west-2:123456789012:instance/i-abcdef01234567890",
	"Partition": "aws",
	"Region": "us-west-2",
	"ResourceRole": "Target",
	"Tags": {
		"billingCode": "Lotus-1-2-3",
		"needsPatching": true
	},
	"Details": {
		"IamInstanceProfileArn": "arn:aws:iam::123456789012:role/IamInstanceProfileArn",
		"ImageId": "ami-79fd7eee",
		"IpV4Addresses": ["1.1.1.1"],
		"IpV6Addresses": ["2001:db8:1234:1a2b::123"],
		"KeyName": "testkey",
		"LaunchedAt": "2018-09-29T01:25:54Z",
		"MetadataOptions": {
			"HttpEndpoint": "enabled",
			"HttpProtocolIpv6": "enabled",
			"HttpPutResponseHopLimit": 1,
			"HttpTokens": "optional",
			"InstanceMetadataTags": "disabled"
		}
	},
		"NetworkInterfaces": [
		{
			"NetworkInterfaceId": "eni-e5aa89a3"
		}
		],
		"SubnetId": "PublicSubnet",
		"Type": "i3.xlarge",
		"VirtualizationType": "hvm",
		"VpcId": "TestVPCIpv6"
	}

]

SchemaVersion

Die Schemaversion, für die ein Fund formatiert ist. Der Wert dieses Feldes muss eine der offiziell veröffentlichten Versionen sein, die von AWS identifiziert wurden. In der aktuellen Version lautet die AWS Security Finding Format-Schemaversion2018-10-08.

Beispiel

"SchemaVersion": "2018-10-08"

Schweregrad

Definiert die Wichtigkeit eines Ergebnisses. Einzelheiten zu diesem Objekt finden Sie Severity in der AWS Security Hub API-Referenz.

Severityist sowohl ein Objekt der obersten Ebene in einem Ergebnis als auch verschachtelt unter dem FindingProviderFields Objekt.

Der Wert des Severity Objekts der obersten Ebene für ein Ergebnis sollte nur mithilfe der API aktualisiert werden. BatchUpdateFindings

Um Informationen zum Schweregrad bereitzustellen, sollten Findanbieter das Severity Objekt unter aktualisierenFindingProviderFields, wenn sie eine BatchImportFindings API-Anfrage stellen.
 Wenn eine BatchImportFindings Anfrage für ein neues Ergebnis nur Label oder nur liefertNormalized, füllt Security Hub CSPM automatisch den Wert des anderen Feldes aus. 
Die Original Felder Product und können auch ausgefüllt werden.

Wenn das Finding.Severity Objekt der obersten Ebene vorhanden, aber nicht vorhanden Finding.FindingProviderFields ist, erstellt Security Hub CSPM das FindingProviderFields.Severity Objekt und kopiert das gesamte Finding.Severity object Objekt hinein. Dadurch wird sichergestellt, dass die ursprünglichen, vom Anbieter bereitgestellten Details in der FindingProviderFields.Severity Struktur erhalten bleiben, auch wenn das Objekt der obersten Ebene überschrieben wird. Severity

Der Schweregrad des Ergebnisses berücksichtigt nicht den kritischen Charakter der beteiligten Komponenten oder der zugrunde liegenden Ressource. Der kritische Charakter ist definiert als die Wichtigkeit der Ressourcen, die mit dem Ergebnis verbunden sind. Beispielsweise hat eine Ressource, die einer geschäftskritischen Anwendung zugeordnet ist, eine höhere Kritikalität als eine Ressource, die nicht produktiven Tests zugeordnet ist. Verwenden Sie das Criticality-Feld, um Informationen zum kritischen Charakter der Ressource zu erfassen.

Wir empfehlen, bei der Umrechnung der systemeigenen Schweregradwerte der Ergebnisse in den ASFF-Wert die folgenden Richtlinien zu beachten. Severity.Label

Beispiel

"Severity": {
    "Label": "CRITICAL",
    "Normalized": 90,
    "Original": "CRITICAL"
}

Title

Der Titel eines Fundes. Dieses Feld kann unspezifischen Standardtext oder spezifische Details für diese Instanz des Fundes enthalten.

Bei Kontrollergebnissen enthält dieses Feld den Titel der Kontrolle. Dieses Feld bezieht sich nicht auf einen Standard, wenn Sie konsolidierte Kontrollergebnisse aktivieren.

Beispiel

"Title": "AWS Config should be enabled"

Typen

Ein oder mehrere Fundtypen im Format namespace/category/classifier, die einen Fund klassifizieren. Dieses Feld bezieht sich nicht auf einen Standard, wenn Sie konsolidierte Kontrollergebnisse aktivieren.

Typessollte nur mithilfe der BatchUpdateFindings API aktualisiert werden.

Bei der Suche nach Anbietern, die einen Wert für angeben möchten, Types sollte das Types Attribut unter verwendet FindingProviderFields werden.

In der folgenden Liste sind die Aufzählungszeichen der obersten Ebene Namespaces, die Aufzählungszeichen der zweiten Ebene sind Kategorien und die Aufzählungszeichen der dritten Ebene sind Klassifikatoren. Wir empfehlen, bei der Suche nach Anbietern definierte Namespaces zu verwenden, um die Ergebnisse zu sortieren und zu gruppieren. Die definierten Kategorien und Klassifikatoren können ebenfalls verwendet werden, sind aber nicht erforderlich. Nur der Software- und Konfigurationsprüfungs-Namespace hat definierte Klassifizierer.

Sie können einen Teilpfad für namespace/category /classifier definieren. Beispielsweise sind die folgenden Ergebnisarten alle gültig:

Die Kategorien Taktiken, Techniken und Verfahren (TTPs) in der folgenden Liste entsprechen der MITRE ATT&CK MatrixTM. Der Namespace Unusual Behaviors spiegelt allgemeines ungewöhnliches Verhalten wider, wie z. B. allgemeine statistische Anomalien, und ist nicht auf ein bestimmtes TTP ausgerichtet. Sie könnten einen Fund jedoch mit beiden Fundtypen (Ungewöhnliches Verhalten und TTPs) klassifizieren.

Liste der Namespaces, Kategorien und Klassifikatoren:

Beispiel

"Types": [
    "Software and Configuration Checks/Vulnerabilities/CVE"
]

UpdatedAt

Gibt an, wann der Findanbieter den Ergebnisdatensatz zuletzt aktualisiert hat.

Dieser Zeitstempel gibt den Zeitpunkt an, zu dem der Ergebnisdatensatz zuletzt oder zuletzt aktualisiert wurde. Daher kann er vom LastObservedAt Zeitstempel abweichen, der angibt, wann das Ereignis oder die Sicherheitsanfälligkeit zuletzt oder zuletzt beobachtet wurde.

Wenn Sie den Funddatensatz aktualisieren, müssen Sie diesen Zeitstempel durch den aktualisierten Zeitstempel ersetzen. Bei der Erstellung eines Ergebnisdatensatzes müssen die UpdatedAt Zeitstempel CreatedAt und identisch sein. Nach einer Aktualisierung des Ergebnisdatensatzes muss der Wert dieses Felds aktueller sein als alle vorherigen Werte, die es enthielt.

Beachten Sie, dass mit der BatchUpdateFindings Operation UpdatedAt nicht aktualisiert werden kann. Sie können es nur mithilfe der BatchImportFindings Operation aktualisieren.

Beispiel

"UpdatedAt": "2017-04-22T13:22:13.933Z"