Atributos de nivel superior ASFF obligatorios - AWS Security Hub
AwsAccountIdCreatedAtDescripciónGeneratorIdIdProductArnRecursosSchemaVersionGravedadTítuloTiposUpdatedAt

Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Atributos de nivel superior ASFF obligatorios

Los siguientes atributos de nivel superior en el formato AWS de búsqueda de seguridad (ASFF) son necesarios para todos los hallazgos en Security Hub. Para obtener más información sobre estos atributos obligatorios, consulte AwsSecurityFindingen la AWS Security Hub APIReferencia.

AwsAccountId

El Cuenta de AWS identificador al que se aplica la constatación.

Ejemplo

"AwsAccountId": "111111111111"

CreatedAt

Indica cuándo se creó el posible problema de seguridad detectado por un resultado.

Ejemplo

"CreatedAt": "2017-03-22T13:22:13.933Z"
nota

Security Hub borra los resultados al cabo de 90 días desde la última actualización o 90 días después de que se crearan si no hay actualizaciones. Para almacenar los hallazgos durante más de 90 días, puedes configurar una regla en Amazon EventBridge que dirija los hallazgos a tu bucket de S3.

Descripción

Una descripción del hallazgo. Este campo puede ser texto reutilizable no específico o información específica de la instancia del hallazgo.

Para los resultados de control que genera Security Hub, este campo proporciona una descripción del control.

Este campo no hace referencia a un estándar si activa los resultados de control consolidados.

Ejemplo

"Description": "This AWS control checks whether AWS Config is enabled in the current account and Region."

GeneratorId

El identificador para el componente específico de la solución (unidad de lógica discreta) que generó un hallazgo.

Para los resultados de control que genera Security Hub, este campo no hace referencia a un estándar si se activan los resultados de control consolidados.

Ejemplo

"GeneratorId": "security-control/Config.1"

Id

El identificador específico del producto para un hallazgo. Para los hallazgos de control que genera Security Hub, este campo proporciona el nombre de recurso de Amazon (ARN) del hallazgo.

Este campo no hace referencia a un estándar si activa los resultados de control consolidados.

Ejemplo

"Id": "arn:aws:securityhub:eu-central-1:123456789012:security-control/iam.9/finding/ab6d6a26-a156-48f0-9403-115983e5a956

"

ProductArn

El nombre de recurso de Amazon (ARN) generado por Security Hub que identifica de forma exclusiva un producto de terceros encuentra un producto una vez registrado el producto en Security Hub.

El formato de este campo es arn:partition:securityhub:region:account-id:product/company-id/product-id.

  • Para AWS los servicios que están integrados con Security Hub, company-id debe ser aws «» y product-id debe ser el nombre del servicio AWS público. Como AWS los productos y servicios no están asociados a una cuenta, la account-id sección ARN está vacía. AWS los servicios que aún no están integrados con Security Hub se consideran productos de terceros.

  • En el caso de productos públicos, el company-id y el product-id deben ser los valores de ID especificados en el momento del registro.

  • En el caso de productos privados, el company-id debe ser el ID de la cuenta. El product-id debe ser la palabra reservada de forma predeterminada o el ID que se especificó en el momento del registro.

Ejemplo

// Private ARN
    "ProductArn": "arn:aws:securityhub:us-east-1:111111111111:product/111111111111/default"

// Public ARN

    "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty"
    "ProductArn": "arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro"

Recursos

El Resourcesobjeto proporciona un conjunto de tipos de datos de recursos que describen los AWS recursos a los que se refiere el hallazgo.

Ejemplo

"Resources": [
  {
    "ApplicationArn": "arn:aws:resource-groups:us-west-2:123456789012:group/SampleApp/1234567890abcdef0",
    "ApplicationName": "SampleApp",
    "DataClassification": {
    "DetailedResultsLocation": "Path_to_Folder_Or_File",
    "Result": {
        "MimeType": "text/plain",
        "SizeClassified": 2966026,
        "AdditionalOccurrences": false,
        "Status": {
            "Code": "COMPLETE",
            "Reason": "Unsupportedfield"
        },
       "SensitiveData": [
            {
                "Category": "PERSONAL_INFORMATION",
                "Detections": [
                    {
                        "Count": 34,
                        "Type": "GE_PERSONAL_ID",
                        "Occurrences": {
                            "LineRanges": [
                                {
                                    "Start": 1,
                                    "End": 10,
                                    "StartColumn": 20
                                }
                            ],
                            "Pages": [],
                            "Records": [],
                            "Cells": []
                        }
                    },
                    {
                        "Count": 59,
                        "Type": "EMAIL_ADDRESS",
                        "Occurrences": {
                            "Pages": [
                                {
                                    "PageNumber": 1,
                                    "OffsetRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                     },
                                    "LineRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                    }
                                }
                            ]
                        }
                    },
                    {
                        "Count": 2229,
                        "Type": "URL",
                        "Occurrences": {
                           "LineRanges": [
                               {
                                   "Start": 1,
                                   "End": 13
                               }
                           ]
                       }
                   },
                   {
                       "Count": 13826,
                       "Type": "NameDetection",
                       "Occurrences": {
                            "Records": [
                                {
                                    "RecordIndex": 1,
                                    "JsonPath": "$.ssn.value"
                                }
                            ]
                        }
                   },
                   {
                       "Count": 32,
                       "Type": "AddressDetection"
                   }
               ],
               "TotalCount": 32
           }
        ],
        "CustomDataIdentifiers": {
            "Detections": [
                 {
                     "Arn": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Name": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Count": 2,
                 }
            ],
            "TotalCount": 2
        }
    }
},
	"Type": "AwsEc2Instance",
	"Id": "arn:aws:ec2:us-west-2:123456789012:instance/i-abcdef01234567890",
	"Partition": "aws",
	"Region": "us-west-2",
	"ResourceRole": "Target",
	"Tags": {
		"billingCode": "Lotus-1-2-3",
		"needsPatching": true
	},
	"Details": {
		"IamInstanceProfileArn": "arn:aws:iam::123456789012:role/IamInstanceProfileArn",
		"ImageId": "ami-79fd7eee",
		"IpV4Addresses": ["1.1.1.1"],
		"IpV6Addresses": ["2001:db8:1234:1a2b::123"],
		"KeyName": "testkey",
		"LaunchedAt": "2018-09-29T01:25:54Z",
		"MetadataOptions": {
			"HttpEndpoint": "enabled",
			"HttpProtocolIpv6": "enabled",
			"HttpPutResponseHopLimit": 1,
			"HttpTokens": "optional",
			"InstanceMetadataTags": "disabled"
		}
	},
		"NetworkInterfaces": [
		{
			"NetworkInterfaceId": "eni-e5aa89a3"
		}
		],
		"SubnetId": "PublicSubnet",
		"Type": "i3.xlarge",
		"VirtualizationType": "hvm",
		"VpcId": "TestVPCIpv6"
	}

]

SchemaVersion

La versión del esquema para el que se está formateado un hallazgo. El valor de este campo debe ser una de las versiones publicadas oficialmente identificadas por AWS. En la versión actual, la versión del esquema AWS Security Finding Format es2018-10-08.

Ejemplo

"SchemaVersion": "2018-10-08"

Gravedad

Define la importancia de un resultado. Para obtener más información sobre este objeto, consulte Severityla AWS Security Hub APIReferencia.

Severity es a la vez un objeto de nivel superior en un resultado y está anidado debajo del objeto FindingProviderFields.

El valor del Severity objeto de nivel superior para una búsqueda solo debe actualizarse con. BatchUpdateFindingsAPI

Para proporcionar información sobre la gravedad, los proveedores de búsqueda deben actualizar el Severity objeto de abajo FindingProviderFields al realizar una BatchImportFindingsAPIsolicitud.
 Si una solicitud BatchImportFindings de un nuevo resultado solo proporciona Label o solo proporciona Normalized, Security Hub rellena automáticamente el valor del otro campo. Los campos Product y Original también se pueden rellenar.

Si el objeto de nivel superior Finding.Severity está presente, pero Finding.FindingProviderFields no lo está, Security Hub crea el objeto FindingProviderFields.Severity y copia todo el Finding.Severity object en él. Esto garantiza que los detalles originales proporcionados por el proveedor se van a retener en la estructura FindingProviderFields.Severity, incluso si se sobrescribe el objeto de nivel superior Severity.

La gravedad del hallazgo no tiene en cuenta la importancia crítica de los activos involucrados o del recurso subyacente. El nivel de importancia crítica se define como el nivel de importancia de los recursos que están asociados con el hallazgo. Por ejemplo, un recurso que está asociado a una aplicación de misión crítica tiene mayor importancia crítica frente a uno asociado a pruebas que no son de producción. Para capturar información sobre la importancia crítica de los recursos, utilice el campo Criticality.

Recomendamos utilizar la siguiente guía al traducir las puntuaciones de gravedad nativas de los resultados al valor de Severity.Label en. ASFF

  • INFORMATIONAL: Esta categoría puede incluir el resultado de PASSED, WARNING, NOT AVAILABLE o una identificación de datos confidenciales.

  • LOW: Resultados que podrían resultar en futuros compromisos. Por ejemplo, esta categoría puede incluir vulnerabilidades, puntos débiles de configuración y contraseñas expuestas.

  • MEDIUM – Resultados que están asociados con problemas que indican una situación de peligro activa, pero ninguna indicación de que un adversario haya completado sus objetivos. Por ejemplo, esta categoría puede incluir actividad de malware, actividad de piratería y detección de comportamientos inusual.

  • HIGH o CRITICAL – Resultados que indican que un adversario ha completado sus objetivos, como, por ejemplo, pérdida de datos activa, situación en peligro o denegación de servicios.

Ejemplo

"Severity": {
    "Label": "CRITICAL",
    "Normalized": 90,
    "Original": "CRITICAL"
}

Título

El título de un hallazgo. Este campo puede contener texto reutilizable no específico o información específica de esta instancia del hallazgo.

En el caso de los resultados de control, este campo proporciona el título del control.

Este campo no hace referencia a un estándar si activa los resultados de control consolidados.

Ejemplo

"Title": "AWS Config should be enabled"

Tipos

Uno o varios tipos de hallazgos en el formato de namespace/category/classifier que clasifica un hallazgo. Este campo no hace referencia a un estándar si activa los resultados de control consolidados.

Types solo debe actualizarse mediante BatchUpdateFindings.

Los proveedores de resultados que deseen proporcionar un valor para Types deben utilizar el atributo Types en FindingProviderFields.

En la siguiente lista, las viñetas de nivel superior son espacios de nombres, las viñetas de segundo nivel son categorías y las viñetas de tercer nivel son clasificadores. Recomendamos que los proveedores de resultado utilicen espacios de nombres definidos para ayudar a ordenar y agrupar los resultados. Se recomienda el uso de las categorías y clasificadores definidos, pero no son obligatorios. Sólo el espacio de nombres Comprobaciones de software y configuración tiene clasificadores definidos.

Puede definir una ruta parcial para. namespace/category/classifier Por ejemplo, los siguientes tipos de hallazgo son válidos:

  • TTPs

  • TTPs/Defensa: Evasión

  • TTPs/Defense Evasion/CloudTrailStopped

Las categorías de tácticas, técnicas y procedimientos (TTPs) de la siguiente lista se alinean con la MatrixTM de MITRE ATT &CK. El espacio de nombres Unusual Behaviors refleja un comportamiento inusual general, como las anomalías estadísticas generales, y no está alineado con un comportamiento específico. TTP Sin embargo, puede clasificar un hallazgo con comportamientos inusuales y tipos de hallazgos. TTPs

Lista de espacios de nombres, categorías y clasificadores:

  • Comprobaciones de configuración y software

    • Vulnerabilidades

      • CVE

    • AWS Prácticas recomendadas de seguridad

      • Accesibilidad de red

      • Análisis del comportamiento del tiempo de ejecución

    • Estándares del sector y normativos

      • AWS Mejores prácticas de seguridad fundamentales

      • CISPuntos de referencia sobre el endurecimiento de hosts

      • CIS AWS Punto de referencia sobre fundamentos

      • PCI-DSS

      • Controles Cloud Security Alliance

      • ISOControles 90001

      • ISOControles 27001

      • ISOControles 27017

      • ISOControles 27018

      • SOC1

      • SOC 2

      • HIPAAControles (USA)

      • NIST800-53 Controles () USA

      • NISTCSFControles () USA

      • IRAPControles (Australia)

      • K- ISMS Controls (Corea)

      • MTCSControls (Singapur)

      • FISCControles (Japón)

      • Controles My Number Act (Japón)

      • ENSControls (España)

      • Controles Cyber Essentials Plus (Reino Unido)

      • Controles G-Cloud (Reino Unido)

      • Controles C5 (Alemania)

      • Controles IT-Grundschutz (Alemania)

      • GDPRControles (Europa)

      • TISAXControles (Europa)

    • Administración de parches

  • TTPs

    • Acceso inicial

    • Ejecución

    • Persistencia

    • Escalado de privilegios

    • Evasión de defensa

    • Acceso a credenciales

    • Discovery

    • Movimiento lateral

    • Recopilación

    • Comando y control

  • Efectos

    • Exposición de datos

    • Filtración de datos

    • Destrucción de datos

    • Ataques de denegación de servicio

    • Consumo de recursos

  • Comportamientos inusuales

    • Aplicación

    • Flujo de red

    • Dirección IP

    • Usuario

    • VM

    • Contenedor

    • Sin servidor

    • Proceso

    • Base de datos

    • Datos

  • Identificaciones de información confidencial

    • PII

    • Contraseñas

    • Cuestiones legales

    • Datos financieros

    • Seguridad

    • Usuarios

Ejemplo

"Types": [
    "Software and Configuration Checks/Vulnerabilities/CVE"
				]

UpdatedAt

Indica cuándo fue la última vez que el proveedor de resultados actualizó el registro de resultado.

Esta marca de tiempo refleja la hora en que el registro de resultado se actualizó por última vez o por última vez. En consecuencia, puede diferir de la marca de tiempo LastObservedAt, que refleja cuándo se observó por última vez o más recientemente el evento o la vulnerabilidad.

Al actualizar el registro del hallazgo, debe actualizar esta marca temporal con la marca temporal actual. Tras la creación de un registro del resultado, las marcas temporales CreatedAt y UpdatedAt deben actualizarse a la misma marca temporal. Después de una actualización del registro del resultado, el valor de este campo debe ser el más reciente frente a todos los valores anteriores que contenía.

Tenga en cuenta que UpdatedAt no se puede actualizar mediante la BatchUpdateFindingsAPIoperación. Solo puede actualizarlo utilizando BatchImportFindings.

Ejemplo

"UpdatedAt": "2017-04-22T13:22:13.933Z"
nota

Security Hub borra los resultados al cabo de 90 días desde la última actualización o 90 días después de que se crearan si no hay actualizaciones. Para almacenar los hallazgos durante más de 90 días, puedes configurar una regla en Amazon EventBridge que dirija los hallazgos a tu bucket de S3.