Service AWS intégrations avec Security Hub

AWS Security Hub prend en charge les intégrations avec plusieurs autres Services AWS.

Sauf indication contraire ci-dessous, Service AWS les intégrations qui envoient des résultats à Security Hub sont automatiquement activées une fois que vous avez activé Security Hub et l'autre service. Les intégrations qui reçoivent les résultats du Security Hub peuvent nécessiter des étapes supplémentaires pour être activées. Consultez les informations relatives à chaque intégration pour en savoir plus.

Vue d'ensemble des intégrations de AWS services avec Security Hub

Voici un aperçu des AWS services qui envoient des résultats à Security Hub ou reçoivent des résultats de Security Hub.

AWS services qui envoient les résultats à Security Hub

Les AWS services suivants s'intègrent à Security Hub en envoyant les résultats à Security Hub. Security Hub convertit les résultats au format AWS Security Finding.

AWS Config (Envoie les résultats)

AWS Config est un service qui vous permet d'évaluer, d'auditer et d'évaluer les configurations de vos AWS ressources. AWS Config surveille et enregistre en permanence les configurations de vos AWS ressources et vous permet d'automatiser l'évaluation des configurations enregistrées par rapport aux configurations souhaitées.

En utilisant l'intégration avec AWS Config, vous pouvez consulter les résultats des évaluations de règles AWS Config gérées et personnalisées sous forme de conclusions dans Security Hub. Ces résultats peuvent être consultés en même temps que d'autres résultats de Security Hub, en fournissant une vue d'ensemble complète de votre niveau de sécurité.

AWS Config utilise Amazon EventBridge pour envoyer des évaluations de AWS Config règles à Security Hub. Security Hub transforme les évaluations des règles en résultats conformes au format AWS Security Finding. Security Hub enrichit ensuite les résultats de son mieux en obtenant plus d'informations sur les ressources concernées, telles que le nom de la ressource Amazon (ARN), les balises de ressource et la date de création.

Pour plus d'informations sur cette intégration, consultez les sections suivantes.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

AWS Firewall Manager (Envoie les résultats)

Firewall Manager envoie les résultats à Security Hub lorsqu'une politique de pare-feu d'application Web (WAF) pour les ressources ou une règle de liste de contrôle d'accès Web (WebACL) n'est pas conforme. Firewall Manager envoie également des résultats lorsqu' AWS Shield Advanced il ne protège pas les ressources ou lorsqu'une attaque est identifiée.

Une fois que vous avez activé Security Hub, cette intégration est automatiquement activée. Firewall Manager commence immédiatement à envoyer ses résultats à Security Hub.

Pour en savoir plus sur l'intégration, consultez la page Intégrations de la console Security Hub.

Pour en savoir plus sur Firewall Manager, consultez le manuel du AWS WAF développeur.

Amazon GuardDuty (envoie les résultats)

GuardDuty envoie tous les résultats qu'il génère à Security Hub.

Les nouvelles découvertes GuardDuty sont envoyées à Security Hub dans les cinq minutes. Les mises à jour des résultats sont envoyées en fonction du paramètre Résultats mis à jour pour Amazon EventBridge dans GuardDuty les paramètres.

Lorsque vous générez des GuardDuty échantillons de résultats à l'aide de la page GuardDuty Paramètres, Security Hub reçoit les résultats des échantillons et omet le préfixe [Sample] dans le type de recherche. Par exemple, le type de recherche d'échantillon GuardDuty [SAMPLE] Recon:IAMUser/ResourcePermissions est affiché comme Recon:IAMUser/ResourcePermissions dans Security Hub.

Une fois que vous avez activé Security Hub, cette intégration est automatiquement activée. GuardDuty commence immédiatement à envoyer les résultats à Security Hub.

Pour plus d'informations sur l' GuardDuty intégration, consultez Integration with AWS Security Hub dans le guide de GuardDuty l'utilisateur Amazon.

AWS Health (Envoie les résultats)

AWS Health fournit une visibilité continue sur les performances de vos ressources et sur la disponibilité de vos Services AWS terres Comptes AWS. Vous pouvez utiliser AWS Health les événements pour découvrir comment les modifications des services et des ressources peuvent affecter les applications qui s'exécutent sur AWS.

L'intégration avec AWS Health n'utilise pasBatchImportFindings. AWS Health Utilise plutôt la messagerie service-to-service événementielle pour envoyer les résultats à Security Hub.

Pour plus d'informations sur l'intégration, consultez les sections suivantes.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

AWS Identity and Access Management Access Analyzer (Envoie les résultats)

Avec IAM Access Analyzer, tous les résultats sont envoyés à Security Hub.

IAMAccess Analyzer utilise un raisonnement basé sur la logique pour analyser les politiques basées sur les ressources appliquées aux ressources prises en charge dans votre compte. IAMAccess Analyzer génère une constatation lorsqu'il détecte une déclaration de politique permettant à un principal externe d'accéder à une ressource de votre compte.

Dans IAM Access Analyzer, seul le compte administrateur peut consulter les résultats des analyseurs qui s'appliquent à une organisation. Pour les analyseurs d'organisation, le AwsAccountId ASFF champ reflète l'ID du compte administrateur. En dessousProductFields, le ResourceOwnerAccount champ indique le compte dans lequel la découverte a été découverte. Si vous activez les analyseurs individuellement pour chaque compte, Security Hub génère plusieurs résultats, l'un identifiant le compte administrateur et l'autre identifiant le compte ressource.

Pour plus d'informations, consultez la section Intégration à AWS Security Hub dans le guide de IAM l'utilisateur.

Amazon Inspector (envoie les résultats)

Amazon Inspector est un service de gestion des vulnérabilités qui analyse en permanence vos AWS charges de travail pour détecter les vulnérabilités. Amazon Inspector découvre et analyse automatiquement les EC2 instances Amazon et les images de conteneurs qui se trouvent dans le registre Amazon Elastic Container Registry. L'analyse recherche les vulnérabilités logicielles et les expositions involontaires au réseau.

Une fois que vous avez activé Security Hub, cette intégration est automatiquement activée. Amazon Inspector commence immédiatement à envoyer tous les résultats qu'il génère à Security Hub.

Pour plus d'informations sur l'intégration, consultez Integration with AWS Security Hub dans le guide de l'utilisateur d'Amazon Inspector.

Security Hub peut également recevoir les résultats d'Amazon Inspector Classic. Amazon Inspector Classic envoie les résultats à Security Hub qui sont générés par le biais d'évaluations pour tous les packages de règles pris en charge.

Pour plus d'informations sur l'intégration, consultez Integration with AWS Security Hub dans le guide de l'utilisateur Amazon Inspector Classic.

Les résultats pour Amazon Inspector et Amazon Inspector Classic utilisent le même produitARN. Les résultats d'Amazon Inspector contiennent l'entrée suivante dans ProductFields :

"aws/inspector/ProductVersion": "2",

AWS IoT Device Defender (Envoie les résultats)

AWS IoT Device Defender est un service de sécurité qui audite la configuration de vos appareils IoT, surveille les appareils connectés pour détecter les comportements anormaux et contribue à atténuer les risques de sécurité.

Après avoir activé les deux AWS IoT Device Defender options et Security Hub, rendez-vous sur la page Intégrations de la console Security Hub et choisissez Accepter les résultats pour Audit, Detect ou les deux. AWS IoT Device Defender Audit and Detect commence à envoyer tous les résultats à Security Hub.

AWS IoT Device Defender L'audit envoie des résumés de contrôle à Security Hub, qui contiennent des informations générales relatives à un type de contrôle d'audit et à une tâche d'audit spécifiques. AWS IoT Device Defender Detect envoie les résultats des violations relatives à l'apprentissage automatique (ML), aux statistiques et aux comportements statiques à Security Hub. L'audit envoie également les mises à jour de recherche à Security Hub.

Pour plus d'informations sur cette intégration, consultez la section Integration with AWS Security Hub dans le manuel du AWS IoT développeur.

Amazon Macie (envoie les résultats)

Une découverte de Macie peut indiquer qu'il existe une violation potentielle de la politique ou que des données sensibles, telles que des informations personnelles identifiables (PII), sont présentes dans les données que votre organisation stocke sur Amazon S3.

Une fois que vous avez activé Security Hub, Macie commence automatiquement à envoyer les résultats des politiques à Security Hub. Vous pouvez configurer l'intégration pour envoyer également les résultats de données sensibles à Security Hub.

Dans Security Hub, le type de recherche d'une politique ou d'une recherche de données sensibles est remplacé par une valeur compatible avecASFF. Par exemple, le type de Policy:IAMUser/S3BucketPublic recherche dans Macie est affiché comme Effects/Data Exposure/Policy:IAMUser-S3BucketPublic dans Security Hub.

Macie envoie également les résultats des échantillons générés à Security Hub. Pour les résultats d'échantillonnage, le nom de la ressource affectée est macie-sample-finding-bucket et la valeur du Sample champ esttrue.

Pour plus d'informations, consultez la section Intégration d'Amazon Macie à AWS Security Hub dans le guide de l'utilisateur d'Amazon Macie.

AWS Systems Manager Gestionnaire de correctifs (envoie les résultats)

AWS Systems Manager Patch Manager envoie les résultats à Security Hub lorsque les instances du parc d'un client ne sont pas conformes à sa norme de conformité aux correctifs.

Le Gestionnaire de correctifs automatise le processus d’application des correctifs de sécurité et d’autres types de mise à jour sur les instances gérées.

Une fois que vous avez activé Security Hub, cette intégration est automatiquement activée. Systems Manager Patch Manager commence immédiatement à envoyer ses résultats à Security Hub.

Pour plus d'informations sur l'utilisation du gestionnaire de correctifs, consultez la section Gestionnaire de AWS Systems Manager correctifs dans le guide de AWS Systems Manager l'utilisateur.

AWS services recevant les résultats de Security Hub

Les AWS services suivants sont intégrés à Security Hub et reçoivent les résultats de Security Hub. Lorsque cela est indiqué, le service intégré peut également mettre à jour les résultats. Dans ce cas, la recherche des mises à jour que vous apportez dans le service intégré sera également reflétée dans Security Hub.

AWS Audit Manager (Reçoit les résultats)

AWS Audit Manager reçoit les résultats de Security Hub. Ces résultats aident les utilisateurs d'Audit Manager à se préparer aux audits.

Pour en savoir plus sur Audit Manager, consultez le guide de l'utilisateur d'AWS Audit Manager. AWS Les contrôles pris en charge par Security Hub AWS Audit Manager répertorient les contrôles pour lesquels Security Hub envoie les résultats à Audit Manager.

AWS Chatbot (Reçoit les résultats)

AWS Chatbot est un agent interactif qui vous aide à surveiller et à interagir avec vos AWS ressources sur vos chaînes Slack et les forums de discussion Amazon Chime.

AWS Chatbot reçoit les résultats de Security Hub.

Pour en savoir plus sur l' AWS Chatbot intégration avec Security Hub, consultez la présentation de l'intégration de Security Hub dans le guide de l'AWS Chatbot administrateur.

Amazon Detective (reçoit les résultats)

Detective collecte automatiquement les données des journaux à partir de vos AWS ressources et utilise l'apprentissage automatique, l'analyse statistique et la théorie des graphes pour vous aider à visualiser et à mener des enquêtes de sécurité plus rapides et plus efficaces.

L'intégration de Security Hub à Detective vous permet de passer des GuardDuty résultats d'Amazon dans Security Hub à Detective. Vous pouvez ensuite utiliser les outils Detective et les visualisations pour les étudier. L'intégration ne nécessite aucune configuration supplémentaire dans Security Hub ou Detective.

Pour les résultats provenant d'autres utilisateurs Services AWS, le panneau de détails des recherches de la console Security Hub inclut une sous-section Investigate in Detective. Cette sous-section contient un lien vers Detective où vous pouvez étudier plus en détail le problème de sécurité signalé par le résultat. Vous pouvez également créer un graphe de comportement dans Detective en vous basant sur les résultats du Security Hub afin de mener des enquêtes plus efficaces. Pour plus d'informations, consultez les résultats AWS de sécurité dans le guide d'administration Amazon Detective.

Si l'agrégation entre régions est activée, lorsque vous quittez la région d'agrégation, Detective s'ouvre dans la région d'où provient le résultat.

Si un lien ne fonctionne pas et que vous souhaitez accéder à des conseils de dépannage, veuillez consulter la page relative au dépannage.

Amazon Security Lake (reçoit les résultats)

Security Lake est un service de lac de données de sécurité entièrement géré. Vous pouvez utiliser Security Lake pour centraliser automatiquement les données de sécurité provenant de sources cloud, locales et personnalisées dans un lac de données stocké dans votre compte. Les abonnés peuvent utiliser les données de Security Lake à des fins d'investigation et d'analyse.

Pour activer cette intégration, vous devez activer les deux services et ajouter Security Hub en tant que source dans la console Security Lake, Security Lake API ou AWS CLI. Une fois ces étapes terminées, Security Hub commence à envoyer tous les résultats à Security Lake.

Security Lake normalise automatiquement les résultats de Security Hub et les convertit en un schéma open source standardisé appelé Open Cybersecurity Schema Framework ()OCSF. Dans Security Lake, vous pouvez ajouter un ou plusieurs abonnés pour consulter les résultats du Security Hub.

Pour plus d'informations sur cette intégration, notamment les instructions relatives à l'ajout de Security Hub en tant que source et à la création d'abonnés, consultez Integration with AWS Security Hub dans le guide de l'utilisateur d'Amazon Security Lake.

AWS Systems Manager Explorer et OpsCenter (reçoit et met à jour les résultats)

AWS Systems Manager Explorez et OpsCenter recevez les résultats de Security Hub, puis mettez-les à jour dans Security Hub.

Explorer vous fournit un tableau de bord personnalisable, fournissant des informations et des analyses clés sur la santé opérationnelle et les performances de votre AWS environnement.

OpsCenter vous fournit un emplacement central pour visualiser, étudier et résoudre les éléments de travail opérationnels.

Pour plus d'informations sur Explorer et OpsCenter voir Gestion des opérations dans le Guide de AWS Systems Manager l'utilisateur.

AWS Trusted Advisor (Reçoit les résultats)

Trusted Advisor s'appuie sur les meilleures pratiques apprises en servant des centaines de milliers de AWS clients. Trusted Advisor inspecte votre AWS environnement, puis émet des recommandations lorsque des opportunités se présentent pour économiser de l'argent, améliorer la disponibilité et les performances du système ou contribuer à combler les failles de sécurité.

Lorsque vous activez à la fois Security Hub Trusted Advisor et Security Hub, l'intégration est automatiquement mise à jour.

Security Hub envoie les résultats de ses vérifications des meilleures pratiques de sécurité AWS fondamentales à Trusted Advisor.

Pour plus d'informations sur l'intégration de Security Hub avec Security Hub Trusted Advisor, consultez la section Visualisation des contrôles AWS Security Hub AWS Trusted Advisor dans le Guide de l'utilisateur du AWS Support.