Las traducciones son generadas a través de traducción automática. En caso de conflicto entre la traducción y la version original de inglés, prevalecerá la version en inglés.

Descripción de las reglas de automatización en Security Hub

Puede utilizar las reglas de automatización para actualizar automáticamente los resultados en AWS Security Hub. A medida que incorpora los hallazgos, Security Hub puede aplicar una variedad de acciones de reglas, como suprimir los hallazgos, cambiar su gravedad y agregar notas. Estas acciones de regla modifican las conclusiones que coinciden con los criterios especificados.

Entre los ejemplos de casos de uso de las reglas de automatización se incluyen los siguientes:

Puede crear y gestionar reglas de automatización únicamente desde una cuenta de administrador de Security Hub.

Las reglas se aplican a los resultados tanto nuevos como actualizados. Puede crear una regla personalizada de cero o utilizar una plantilla de regla proporcionada por Security Hub. También puede empezar con una plantilla y modificarla según sea necesario.

Definir los criterios y las acciones de las reglas

Desde una cuenta de administrador de Security Hub, puede crear una regla de automatización definiendo uno o más criterios de regla y una o más acciones de regla. Cuando un hallazgo coincide con los criterios definidos, Security Hub le aplica las acciones de la regla. Para obtener más información sobre los criterios y acciones disponibles, consulte Criterios de regla y acciones de regla disponibles.

Actualmente, Security Hub admite un máximo de 100 reglas de automatización para cada cuenta de administrador.

La cuenta de administrador de Security Hub también puede editar, ver y eliminar reglas de automatización. Se aplica una regla a las coincidencias entre la cuenta de administrador y todas sus cuentas de miembros. Al proporcionar la cuenta de miembro IDs como criterio de regla, los administradores de Security Hub también pueden usar reglas de automatización para actualizar o suprimir los hallazgos en cuentas de miembros específicas.

Una regla de automatización solo se aplica en Región de AWS en el que se creó. Para aplicar una regla en varias regiones, el administrador debe crear la regla en cada región. Esto se puede hacer a través de la consola Security Hub, Security Hub API o AWS CloudFormation. También puede utilizar un script de despliegue multirregional.

Especificar el orden de las reglas

Al crear reglas de automatización, usted asigna a cada regla un orden. Esto determina el orden en que Security Hub aplica sus reglas de automatización y adquiere importancia cuando varias reglas se relacionan con el mismo resultado o campo de resultado.

Cuando varias acciones de reglas se refieren al mismo resultado o campo de resultado, la regla con el valor numérico más alto de orden de reglas se aplica en último lugar y tiene el efecto definitivo.

Al crear una regla en la consola de Security Hub, Security Hub asigna automáticamente el orden de las reglas según el orden de creación de las mismas. La regla creada más recientemente tiene el valor numérico más bajo de orden de reglas y, por lo tanto, se aplica primero. Security Hub aplica las reglas subsiguientes en orden ascendente.

Al crear una regla a través del Security Hub API o AWS CLI, Security Hub aplica RuleOrder primero la regla con el valor numérico más bajo. Luego aplica las reglas subsiguientes en orden ascendente. Si varios resultados tienen el mismo RuleOrder, Security Hub aplica primero una regla con un valor anterior del campo UpdatedAt (es decir, la regla que se editó más recientemente se aplica en último lugar).

Puede modificar el orden de las reglas en cualquier momento.

Ejemplo de orden de reglas:

Regla A (el orden de la regla es1):

Regla B (el orden de la regla es2):

Las acciones de la regla A se aplican primero a los resultados de Security Hub que coincidan con los criterios de la regla A. A continuación, se aplican las acciones de la regla B a los resultados de Security Hub con el ID de cuenta especificado. En este ejemplo, como la regla B se aplica en último lugar, el valor final de Severity en los resultados del ID de cuenta especificado es INFORMATIONAL. Según la acción de la regla A, el valor final de Confidence en los resultados coincidentes es 95.

Criterios de regla y acciones de regla disponibles

Los siguientes ejemplos de AWS Los campos Security Finding Format (ASFF) se admiten actualmente como criterios para las reglas de automatización:

En el caso de los criterios etiquetados como campos de cadena, el uso de diferentes operadores de filtro en el mismo campo afecta a la lógica de evaluación. Para obtener más información, consulte StringFilter en la AWS Security Hub APIReferencia.

Cada criterio admite un número máximo de valores que se pueden utilizar para filtrar las conclusiones coincidentes. Para conocer los límites de cada criterio, consulte AutomationRulesFindingFilters en la AWS Security Hub APIReferencia.

Los siguientes ASFF campos se admiten actualmente como acciones para las reglas de automatización:

Para obtener más información sobre ASFF campos específicos, consulte AWS Sintaxis y ASFFejemplos de Security Finding Format (ASFF).