View a markdown version of this page

Atribut ASFF tingkat atas opsional - AWS Hub Keamanan
TindakanAwsAccountNameCompanyNameKepatuhanKepercayaanKekritisanDeteksiFindingProviderFieldsFirstObservedAtLastObservedAtMalwareJaringan (Pensiunan)NetworkPathCatatanPatchSummaryProsesProcessedAtProductFieldsProductNameRecordStateRegionRelatedFindingsRiskAssessmentRemediasiSampelSourceUrlThreatIntelIndicatorsAncamanUserDefinedFieldsVerificationStateKerentananAlur kerjaWorkflowState (Pensiun)

Terjemahan disediakan oleh mesin penerjemah. Jika konten terjemahan yang diberikan bertentangan dengan versi bahasa Inggris aslinya, utamakan versi bahasa Inggris.

Atribut ASFF tingkat atas opsional

Atribut tingkat atas berikut dalam Format Penem AWS uan Keamanan (ASFF) bersifat opsional untuk temuan di Security Hub CSPM. Untuk informasi selengkapnya tentang atribut ini, lihat AwsSecurityFinding di Referensi API Hub AWS Keamanan.

Tindakan

Ob Action jek memberikan rincian tentang tindakan yang mempengaruhi atau diambil pada sumber daya.

Contoh

"Action": {
    "ActionType": "PORT_PROBE",
    "PortProbeAction": {
        "PortProbeDetails": [
            {
                "LocalPortDetails": {
                    "Port": 80,
                    "PortName": "HTTP"
                  },
                "LocalIpDetails": {
                     "IpAddressV4": "192.0.2.0"
                 },
                "RemoteIpDetails": {
                    "Country": {
                        "CountryName": "Example Country"
                    },
                    "City": {
                        "CityName": "Example City"
                    },
                   "GeoLocation": {
                       "Lon": 0,
                       "Lat": 0
                   },
                   "Organization": {
                       "AsnOrg": "ExampleASO",
                       "Org": "ExampleOrg",
                       "Isp": "ExampleISP",
                       "Asn": 64496
                   }
                }
            }
        ],
        "Blocked": false
    }
}

AwsAccountName

Akun AWS Nama yang digunakan temuan itu.

Contoh

"AwsAccountName": "jane-doe-testaccount"

CompanyName

Nama perusahaan untuk produk yang menghasilkan temuan. Untuk temuan berbasis kontrol, perusahaan adalah. AWS

Security Hub CSPM mengisi atribut ini secara otomatis untuk setiap temuan. Anda tidak dapat memperbaruinya menggunakan BatchImportFindings atau BatchUpdateFindings. Pengecualian untuk ini adalah ketika Anda menggunakan integrasi kustom. Lihat Mengintegrasikan Security Hub CSPM dengan produk khusus.

Saat Anda menggunakan konsol CSPM Security Hub untuk memfilter temuan berdasarkan nama perusahaan, Anda menggunakan atribut ini. Saat Anda menggunakan Security Hub CSPM API untuk memfilter temuan berdasarkan nama perusahaan, Anda menggunakan aws/securityhub/CompanyName atribut di bawah. ProductFields Security Hub CSPM tidak menyinkronkan kedua atribut tersebut.

Contoh

"CompanyName": "AWS"

Kepatuhan

Ob Compliance jek biasanya memberikan rincian tentang temuan kontrol, seperti standar yang berlaku dan status pemeriksaan kontrol.

Contoh

"Compliance": {
    "AssociatedStandards": [
        {"StandardsId": "standards/aws-foundational-security-best-practices/v/1.0.0"},
        {"StandardsId": "standards/service-managed-aws-control-tower/v/1.0.0"},
        {"StandardsId": "standards/nist-800-53/v/5.0.0"}
    ],
    "RelatedRequirements": [
        "NIST.800-53.r5 AC-4",
        "NIST.800-53.r5 AC-4(21)",
        "NIST.800-53.r5 SC-7",
        "NIST.800-53.r5 SC-7(11)",
        "NIST.800-53.r5 SC-7(16)",
        "NIST.800-53.r5 SC-7(21)",
        "NIST.800-53.r5 SC-7(4)",
        "NIST.800-53.r5 SC-7(5)"
    ],
    "SecurityControlId": "EC2.18",
    "SecurityControlParameters":[
        {
            "Name": "authorizedTcpPorts",
            "Value": ["80", "443"]
        },
        {
            "Name": "authorizedUdpPorts",
            "Value": ["427"]
        }
    ],
    "Status": "NOT_AVAILABLE",
    "StatusReasons": [
        {
            "ReasonCode": "CONFIG_RETURNS_NOT_APPLICABLE",
            "Description": "This finding has a compliance status of NOT AVAILABLE because AWS Config sent Security Hub CSPM a finding with a compliance state of Not Applicable. The potential reasons for a Not Applicable finding from Config are that (1) a resource has been moved out of scope of the Config rule; (2) the Config rule has been deleted; (3) the resource has been deleted; or (4) the logic of the Config rule itself includes scenarios where Not Applicable is returned. The specific reason why Not Applicable is returned is not available in the Config rule evaluation."
        }
    ]
}

Kepercayaan

Kemungkinan bahwa temuan secara akurat mengidentifikasi perilaku atau masalah yang dimaksudkan untuk diidentifikasi.

Confidenceseharusnya hanya diperbarui menggunakan BatchUpdateFindings.

Menemukan penyedia yang ingin memberikan nilai untuk Confidence harus menggunakan Confidence atribut di bawahFindingProviderFields. Lihat Memperbarui temuan dengan FindingProviderFields.

Confidencedinilai berdasarkan 0-100 menggunakan skala rasio. 0 berarti kepercayaan 0 persen, dan 100 berarti kepercayaan 100 persen. Misalnya, deteksi eksfiltrasi data berdasarkan penyimpangan statistik lalu lintas jaringan memiliki kepercayaan rendah karena eksfiltrasi aktual belum diverifikasi.

Contoh

"Confidence": 42

Kekritisan

Tingkat kepentingan yang diberikan pada sumber daya yang terkait dengan temuan.

Criticalityseharusnya hanya diperbarui dengan memanggil operasi BatchUpdateFindings API. Jangan memperbarui objek ini dengan BatchImportFindings.

Menemukan penyedia yang ingin memberikan nilai untuk Criticality harus menggunakan Criticality atribut di bawahFindingProviderFields. Lihat Memperbarui temuan dengan FindingProviderFields.

Criticalitydinilai berdasarkan 0-100, menggunakan skala rasio yang hanya mendukung bilangan bulat penuh. Skor 0 berarti bahwa sumber daya yang mendasarinya tidak memiliki kekritisan, dan skor 100 dicadangkan untuk sumber daya yang paling kritis.

Untuk setiap sumber daya, pertimbangkan hal berikut saat menetapkan: Criticality

  • Apakah sumber daya yang terpengaruh berisi data sensitif (misalnya, bucket S3 dengan PII)?

  • Apakah sumber daya yang terpengaruh memungkinkan musuh untuk memperdalam akses mereka atau memperluas kemampuan mereka untuk melakukan aktivitas berbahaya tambahan (misalnya, akun sysadmin yang dikompromikan)?

  • Apakah sumber daya merupakan aset penting bisnis (misalnya, sistem bisnis utama yang jika dikompromikan dapat memiliki dampak pendapatan yang signifikan)?

Anda dapat menggunakan pedoman berikut:

  • Sumber daya yang mendukung sistem kritis misi atau berisi data yang sangat sensitif dapat dinilai dalam kisaran 75-100.

  • Sumber daya yang memberi daya pada sistem penting (tetapi bukan kritis) atau berisi data yang cukup penting dapat dinilai dalam kisaran 25-74.

  • Sumber daya yang memberi daya pada sistem yang tidak penting atau berisi data tidak sensitif harus diberi skor dalam kisaran 0-24.

Contoh

"Criticality": 99

Deteksi

Ob Detection jek memberikan rincian tentang penemuan urutan serangan dari Amazon GuardDuty Extended Threat Detection. GuardDuty menghasilkan penemuan urutan serangan ketika beberapa peristiwa sejajar dengan aktivitas yang berpotensi mencurigakan. Untuk menerima temuan urutan GuardDuty serangan di AWS Security Hub CSPM, Anda harus GuardDuty mengaktifkan di akun Anda. Untuk informasi selengkapnya, lihat Det GuardDuty eksi Ancaman Diperpanjang Amazon di Panduan GuardDuty Pengguna Amazon.

Contoh

"Detection": {
    "Sequence": {
    	"Uid": "1111111111111-184ec3b9-cf8d-452d-9aad-f5bdb7afb010",
    	"Actors": [{
    		"Id": "USER:AROA987654321EXAMPLE:i-b188560f:1234567891",
    		"Session": {
    			"Uid": "1234567891",
    			"MfAStatus": "DISABLED",
    			"CreatedTime": "1716916944000",
    			"Issuer": "arn:aws:s3:::amzn-s3-demo-destination-bucket"
    		},
    		"User": {
    			"CredentialUid": "ASIAIOSFODNN7EXAMPLE",
    			"Name": "ec2_instance_role_production",
    			"Type": "AssumedRole",
    			"Uid": "AROA987654321EXAMPLE:i-b188560f",
    			"Account": {
    				"Uid": "AccountId",
    				"Name": "AccountName"
    			}
    		}
    	}],
    	"Endpoints": [{
    		"Id": "EndpointId",
    		"Ip": "203.0.113.1",
    		"Domain": "example.com",
    		"Port": 4040,
    		"Location": {
    			"City": "New York",
    			"Country": "US",
    			"Lat": 40.7123,
    			"Lon": -74.0068
    		},
    		"AutonomousSystem": {
    			"Name": "AnyCompany",
    			"Number": 64496
    		},
    		"Connection": {
    			"Direction": "INBOUND"
    		}
    	}],
    	"Signals": [{
    		"Id": "arn:aws:guardduty:us-east-1:123456789012:detector/d0bfe135ab8b4dd8c3eaae7df9900073/finding/535a382b1bcc44d6b219517a29058fb7",
    		"Title": "Someone ran a penetration test tool on your account.",
    		"ActorIds": ["USER:AROA987654321EXAMPLE:i-b188560f:1234567891"],
    		"Count": 19,
    		"FirstSeenAt": 1716916943000,
    		"SignalIndicators": [
    			{
    				"Key": "ATTACK_TACTIC",
    				"Title": "Attack Tactic",
    				"Values": [
    					"Impact"
    				]
    			},
    			{
    				"Key": "HIGH_RISK_API",
    				"Title": "High Risk Api",
    				"Values": [
    					"s3:DeleteObject"
    				]
    			},
    			{
    				"Key": "ATTACK_TECHNIQUE",
    				"Title": "Attack Technique",
    				"Values": [
    					"Data Destruction"
    				]
    			},
    		],
    		"LastSeenAt": 1716916944000,
    		"Name": "Test:IAMUser/KaliLinux",
    		"ResourceIds": [
    			"arn:aws:s3:::amzn-s3-demo-destination-bucket"
    		],
    		"Type": "FINDING"
    	}],
    	"SequenceIndicators": [
    		{
    			"Key": "ATTACK_TACTIC",
    			"Title": "Attack Tactic",
    			"Values": [
    				"Discovery",
    				"Exfiltration",
    				"Impact"
    			]
    		},
    		{
    			"Key": "HIGH_RISK_API",
    			"Title": "High Risk Api",
    			"Values": [
    				"s3:DeleteObject",
    				"s3:GetObject",
    				"s3:ListBuckets"
    				"s3:ListObjects"
    			]
    		},
    		{
    			"Key": "ATTACK_TECHNIQUE",
    			"Title": "Attack Technique",
    			"Values": [
    				"Cloud Service Discovery",
    				"Data Destruction"
    			]
    		}
    	]
    }
}

FindingProviderFields

FindingProviderFieldstermasuk atribut berikut:

  • Confidence

  • Criticality

  • RelatedFindings

  • Severity

  • Types

Bidang sebelumnya bersarang di bawah FindingProviderFields objek, tetapi memiliki analog dengan nama yang sama dengan bidang ASFF tingkat atas. Ketika temuan baru dikirim ke Security Hub CSPM oleh penyedia pencari, Security Hub CSPM mengisi FindingProviderFields objek secara otomatis jika kosong berdasarkan bidang tingkat atas yang sesuai.

Menemukan penyedia dapat memperbarui FindingProviderFields dengan menggunakan pen BatchImportFindings goperasian Security Hub CSPM API. Penyedia pencarian tidak dapat memperbarui objek ini dengan BatchUpdateFindings.

Untuk detail tentang cara Security Hub CSPM menangani pembaruan dari BatchImportFindings ke FindingProviderFields dan ke atribut tingkat atas yang sesuai, lihat. Memperbarui temuan dengan FindingProviderFields

Pelanggan dapat memperbarui bidang tingkat atas dengan menggunakan BatchUpdateFindings operasi. Pelanggan tidak dapat memperbaruiFindingProviderFields.

Contoh

"FindingProviderFields": {
    "Confidence": 42,
    "Criticality": 99,
    "RelatedFindings":[
      { 
        "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
        "Id": "123e4567-e89b-12d3-a456-426655440000" 
      }
    ],
    "Severity": {
        "Label": "MEDIUM", 
        "Original": "MEDIUM"
    },
    "Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
}

FirstObservedAt

Menunjukkan kapan potensi masalah keamanan atau peristiwa yang ditangkap oleh temuan pertama kali diamati.

Stempel waktu ini menentukan kapan peristiwa atau kerentanan pertama kali diamati. Akibatnya, dapat berbeda dari stempel CreatedAt waktu, yang mencerminkan kapan catatan temuan ini dibuat.

Untuk temuan kontrol yang dihasilkan dan diperbarui Security Hub CSPM, stempel waktu ini juga dapat menunjukkan kapan status kepatuhan sumber daya baru-baru ini berubah. Untuk jenis temuan lain, stempel waktu ini harus tidak berubah di antara pembaruan catatan temuan, tetapi dapat diperbarui jika stempel waktu yang lebih akurat ditentukan.

Contoh

"FirstObservedAt": "2017-03-22T13:22:13.933Z"

LastObservedAt

Menunjukkan kapan potensi masalah keamanan atau peristiwa yang ditangkap oleh temuan baru-baru ini diamati oleh produk temuan keamanan.

Stempel waktu ini menentukan kapan peristiwa atau kerentanan terakhir atau terakhir diamati. Akibatnya, ini dapat berbeda dari stem UpdatedAt pel waktu, yang mencerminkan kapan catatan temuan ini terakhir atau terbaru diperbarui.

Anda dapat memberikan stempel waktu ini, tetapi tidak diperlukan pada pengamatan pertama. Jika Anda mengisi bidang ini pada pengamatan pertama, stempel waktu harus sama dengan stempel waktu. FirstObservedAt Anda harus memperbarui bidang ini untuk mencerminkan stempel waktu terakhir atau terakhir yang diamati setiap kali temuan diamati.

Contoh

"LastObservedAt": "2017-03-23T13:22:13.933Z"

Malware

Ob Malware jek menyediakan daftar malware yang terkait dengan temuan.

Contoh

"Malware": [
    {
        "Name": "Stringler",
        "Type": "COIN_MINER",
        "Path": "/usr/sbin/stringler",
        "State": "OBSERVED"
    }
]

Jaringan (Pensiunan)

Ob Network jek menyediakan informasi terkait jaringan tentang temuan.

Objek ini sudah pensiun. Untuk menyediakan data ini, Anda dapat memetakan data ke sumber daya diResources, atau menggunakan Action objek.

Contoh

"Network": {
    "Direction": "IN",
    "OpenPortRange": {
        "Begin": 443,
        "End": 443
    },
    "Protocol": "TCP",
    "SourceIpV4": "1.2.3.4",
    "SourceIpV6": "FE80:CD00:0000:0CDE:1257:0000:211E:729C",
    "SourcePort": "42",
    "SourceDomain": "example1.com",
    "SourceMac": "00:0d:83:b1:c0:8e",
    "DestinationIpV4": "2.3.4.5",
    "DestinationIpV6": "FE80:CD00:0000:0CDE:1257:0000:211E:729C",
    "DestinationPort": "80",
    "DestinationDomain": "example2.com"
}

NetworkPath

Ob NetworkPath jek memberikan informasi tentang jalur jaringan yang terkait dengan temuan. Setiap entri NetworkPath mewakili komponen jalur.

Contoh

"NetworkPath" : [
    {
        "ComponentId": "abc-01a234bc56d8901ee",
        "ComponentType": "AWS::EC2::InternetGateway",
        "Egress": {
            "Destination": {
                "Address": [ "192.0.2.0/24" ],
                "PortRanges": [
                    {
                        "Begin": 443,
                        "End": 443
                    }
                ]
            },
            "Protocol": "TCP",
            "Source": {
                "Address": ["203.0.113.0/24"]
            }
        },
        "Ingress": {
            "Destination": {
                "Address": [ "198.51.100.0/24" ],
                "PortRanges": [
                    {
                        "Begin": 443,
                        "End": 443
                    }
                 ]
            },
            "Protocol": "TCP",
            "Source": {
                "Address": [ "203.0.113.0/24" ]
            }
        }
     }
]

Catatan

Ob Note jek menentukan catatan yang ditentukan pengguna yang dapat Anda tambahkan ke temuan.

Penyedia pencarian dapat memberikan catatan awal untuk temuan, tetapi tidak dapat menambahkan catatan setelah itu. Anda hanya dapat memperbarui catatan menggunakan BatchUpdateFindings.

Contoh

"Note": {
    "Text": "Don't forget to check under the mat.",
    "UpdatedBy": "jsmith",
    "UpdatedAt": "2018-08-31T00:15:09Z"
}

PatchSummary

Ob PatchSummary jek memberikan ringkasan status kepatuhan patch untuk instance terhadap standar kepatuhan yang dipilih.

Contoh

"PatchSummary" : {
    "FailedCount" : 0,
    "Id" : "pb-123456789098",
    "InstalledCount" : 100,
    "InstalledOtherCount" : 1023,
    "InstalledPendingReboot" : 0,
    "InstalledRejectedCount" : 0,
    "MissingCount" : 100,
    "Operation" : "Install",
    "OperationEndTime" : "2018-09-27T23:39:31Z",
    "OperationStartTime" : "2018-09-27T23:37:31Z",
    "RebootOption" : "RebootIfNeeded"
}

Proses

Ob Process jek memberikan detail terkait proses tentang temuan.

Contoh:

"Process": {
    "LaunchedAt": "2018-09-27T22:37:31Z",
    "Name": "syslogd",
    "ParentPid": 56789,
    "Path": "/usr/sbin/syslogd",
    "Pid": 12345,
    "TerminatedAt": "2018-09-27T23:37:31Z"
}

ProcessedAt

Menunjukkan kapan Security Hub CSPM menerima temuan dan mulai memprosesnya.

Ini berbeda dari CreatedAt danUpdatedAt, yang merupakan cap waktu yang diperlukan yang berhubungan dengan interaksi penyedia pencarian dengan masalah keamanan dan temuan. S ProcessedAt tempel waktu menunjukkan kapan Security Hub CSPM mulai memproses temuan. Temuan muncul di akun pengguna setelah pemrosesan selesai.

"ProcessedAt": "2023-03-23T13:22:13.933Z"

ProductFields

Jenis data di mana produk temuan keamanan dapat menyertakan detail spesifik solusi tambahan yang bukan bagian dari Format Penemuan Keamanan yang AWS ditentukan.

Untuk temuan yang dihasilkan oleh kontrol CSPM Security Hub, ProductFields termasuk informasi tentang kontrol. Lihat Menghasilkan dan memperbarui temuan kontrol.

Bidang ini tidak boleh berisi data berlebihan dan tidak boleh berisi data yang bertentangan dengan AWS bidang Format Penemuan Keamanan.

Awalan aws/ "" mewakili namespace yang dicadangkan hanya untuk AWS produk dan layanan dan tidak boleh diserahkan dengan temuan dari integrasi pihak ketiga.

Meskipun tidak diperlukan, produk harus memformat nama bidang sebagaicompany-id/product-id/field-name, di mana company-id dan product-id cocok dengan yang disediakan dalam ProductArn temuan.

Bidang referensi Archival digunakan saat Security Hub CSPM mengarsipkan temuan yang ada. Misalnya, Security Hub CSPM mengarsipkan temuan yang ada saat Anda menonaktifkan kontrol atau standar dan saat Anda mengaktifkan atau menonaktifkan temuan kontrol konsolid asi.

Bidang ini juga dapat mencakup informasi tentang standar yang mencakup kontrol yang menghasilkan temuan.

Contoh

"ProductFields": {
    "API", "DeleteTrail",
    "ArchivalReasons:0/Description": "The finding is in an ARCHIVED state because consolidated control findings has been turned on or off. This causes findings in the previous state to be archived when new findings are being generated.",
    "ArchivalReasons:0/ReasonCode": "CONSOLIDATED_CONTROL_FINDINGS_UPDATE",
    "aws/inspector/AssessmentTargetName": "My prod env",
    "aws/inspector/AssessmentTemplateName": "My daily CVE assessment",
    "aws/inspector/RulesPackageName": "Common Vulnerabilities and Exposures",
    "generico/secure-pro/Action.Type", "AWS_API_CALL",
    "generico/secure-pro/Count": "6",
    "Service_Name": "cloudtrail.amazonaws.com"
}

ProductName

Menyediakan nama produk yang menghasilkan temuan. Untuk temuan berbasis kontrol, nama produknya adalah Security Hub CSPM.

Security Hub CSPM mengisi atribut ini secara otomatis untuk setiap temuan. Anda tidak dapat memperbaruinya menggunakan BatchImportFindings atau BatchUpdateFindings. Pengecualian untuk ini adalah ketika Anda menggunakan integrasi kustom. Lihat Mengintegrasikan Security Hub CSPM dengan produk khusus.

Saat Anda menggunakan konsol CSPM Security Hub untuk memfilter temuan berdasarkan nama produk, Anda menggunakan atribut ini.

Saat Anda menggunakan Security Hub CSPM API untuk memfilter temuan berdasarkan nama produk, Anda menggunakan aws/securityhub/ProductName atribut di bawah. ProductFields

Security Hub CSPM tidak menyinkronkan kedua atribut tersebut.

RecordState

Menyediakan status catatan temuan.

Secara default, ketika awalnya dihasilkan oleh layanan, temuan dipertimbangkanACTIVE.

ARCHIVEDNegara menunjukkan bahwa temuan harus disembunyikan dari pandangan. Temuan yang diarsipkan tidak segera dihapus. Anda dapat mencari, meninjau, dan melaporkannya. Security Hub CSPM secara otomatis mengarsipkan temuan berbasis kontrol jika sumber daya terkait dihapus, sumber daya tidak ada, atau kontrol dinonaktifkan.

RecordStatedimaksudkan untuk menemukan penyedia, dan dapat diperbarui hanya dengan menggunakan BatchImportFindings operasi. Anda tidak dapat memperbaruinya dengan menggunakan BatchUpdateFindings operasi.

Untuk melacak status penyelidikan Anda ke dalam temuan, gunakan al Workflow ih-alihRecordState.

Jika status rekaman berubah dari ARCHIVED keACTIVE, dan status alur kerja temuan adalah NOTIFIED atauRESOLVED, Security Hub CSPM secara otomatis mengubah status alur kerja menjadi. NEW

Contoh

"RecordState": "ACTIVE"

Region

Menentukan Wilayah AWS dari mana temuan itu dihasilkan.

Security Hub CSPM mengisi atribut ini secara otomatis untuk setiap temuan. Anda tidak dapat memperbaruinya menggunakan BatchImportFindings atau BatchUpdateFindings.

Contoh

"Region": "us-west-2"

RelatedFindings

Menyediakan daftar temuan yang terkait dengan temuan saat ini.

RelatedFindingsseharusnya hanya diperbarui dengan operasi BatchUpdateFindings API. Anda tidak boleh memperbarui objek ini dengan BatchImportFindings.

Untuk BatchImportFindings permintaan, penyedia pencarian harus menggunakan RelatedFindings objek di bawah FindingProviderFields.

Untuk melihat deskripsi RelatedFindings atribut, lihat RelatedFinding di Referensi AWS Security Hub API.

Contoh

"RelatedFindings": [
    { "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
      "Id": "123e4567-e89b-12d3-a456-426655440000" },
    { "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
      "Id": "AcmeNerfHerder-111111111111-x189dx7824" }
]

RiskAssessment

Contoh

"RiskAssessment": {
    "Posture": {
        "FindingTotal": 4,
        "Indicators": [
            {
                "Type": "Reachability",
                "Findings": [
                    {
                        "Id": "arn:aws:inspector2:us-east-2:123456789012:finding/1234567890abcdef0",
                        "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/inspector",
                        "Title": "Finding title"
                    },
                    {
                        "Id": "arn:aws:inspector2:us-east-2:123456789012:finding/abcdef01234567890",
                        "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/inspector",
                        "Title": "Finding title"
                    }
                ]
            },
            {
                "Type": "Vulnerability",
                "Findings": [
                    {
                        "Id": "arn:aws:inspector2:us-east-2:123456789012:finding/021345abcdef6789",
                        "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/inspector",
                        "Title": "Finding title"
                    },
                    {
                        "Id": "arn:aws:inspector2:us-east-2:123456789012:finding/021345ghijkl6789",
                        "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/inspector",
                        "Title": "Finding title"
                    }
                ]
            }
        ]
    }
}

Remediasi

Ob Remediation jek memberikan informasi tentang langkah-langkah remediasi yang direkomendasikan untuk mengatasi temuan tersebut.

Contoh

"Remediation": {
    "Recommendation": {
        "Text": "For instructions on how to fix this issue, see the AWS Security Hub CSPM documentation for EC2.2.",
        "Url": "https://docs.aws.amazon.com/console/securityhub/EC2.2/remediation"
    }
}

Sampel

Menentukan apakah temuan tersebut merupakan temuan sampel.

"Sample": true

SourceUrl

Ob SourceUrl jek menyediakan URL yang menautkan ke halaman tentang temuan saat ini dalam produk pencarian.

"SourceUrl": "http://sourceurl.com"

ThreatIntelIndicators

Ob ThreatIntelIndicator jek memberikan rincian intelijen ancaman yang terkait dengan temuan.

Contoh

"ThreatIntelIndicators": [
  {
    "Category": "BACKDOOR",
    "LastObservedAt": "2018-09-27T23:37:31Z",
    "Source": "Threat Intel Weekly",
    "SourceUrl": "http://threatintelweekly.org/backdoors/8888",
    "Type": "IPV4_ADDRESS",
    "Value": "8.8.8.8",
  }
]

Ancaman

Ob Threats jek memberikan rincian tentang ancaman yang terdeteksi oleh temuan.

Contoh

"Threats": [{
    "FilePaths": [{
        "FileName": "b.txt",
        "FilePath": "/tmp/b.txt",
        "Hash": "sha256",
        "ResourceId": "arn:aws:ec2:us-west-2:123456789012:volume/vol-032f3bdd89aee112f"
    }],
    "ItemCount": 3,
    "Name": "Iot.linux.mirai.vwisi",
    "Severity": "HIGH"
}]

UserDefinedFields

Menyediakan daftar pasangan string nama-nilai yang terkait dengan temuan. Ini adalah bidang khusus yang ditentukan pengguna yang ditambahkan ke temuan. Bidang-bidang ini dapat dibuat secara otomatis melalui konfigurasi spesifik Anda.

Penyedia pencarian tidak boleh menggunakan bidang ini untuk data yang dihasilkan produk. Sebagai gantinya, penyedia pencari dapat menggunakan ProductFields bidang untuk data yang tidak dipetakan ke bidang Format AWS Penemuan Keamanan standar.

Bidang-bidang ini hanya dapat diperbarui menggunakan BatchUpdateFindings.

Contoh

"UserDefinedFields": {
    "reviewedByCio": "true",
    "comeBackToLater": "Check this again on Monday"
}

VerificationState

Memberikan kebenaran temuan. Produk temuan dapat memberikan nilai UNKNOWN untuk bidang ini. Produk temuan harus memberikan nilai untuk bidang ini jika ada analog yang bermakna dalam sistem produk temuan. Bidang ini biasanya diisi oleh penentuan atau tindakan pengguna setelah menyelidiki temuan.

Penyedia pencarian dapat memberikan nilai awal untuk atribut ini, tetapi tidak dapat memperbaruinya setelah itu. Anda hanya dapat memperbarui atribut ini dengan menggunakan BatchUpdateFindings.

"VerificationState": "Confirmed"

Kerentanan

Ob Vulnerabilities jek menyediakan daftar kerentanan yang terkait dengan temuan.

Contoh

"Vulnerabilities" : [
    {
        "CodeVulnerabilities": [{
            "Cwes": [
                "CWE-798",
                "CWE-799"
            ],
            "FilePath": {
                "EndLine": 421,
                "FileName": "package-lock.json",
                "FilePath": "package-lock.json",
                "StartLine": 420
            },
                "SourceArn":"arn:aws:lambda:us-east-1:123456789012:layer:AWS-AppConfig-Extension:114"
        }],
        "Cvss": [
            {
                "BaseScore": 4.7,
                "BaseVector": "AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N",
                "Version": "V3"
            },
            {
                "BaseScore": 4.7,
                "BaseVector": "AV:L/AC:M/Au:N/C:C/I:N/A:N",
                "Version": "V2"
            }
        ],
        "EpssScore": 0.015,
        "ExploitAvailable": "YES",
        "FixAvailable": "YES",
        "Id": "CVE-2020-12345",
        "LastKnownExploitAt": "2020-01-16T00:01:35Z",
        "ReferenceUrls":[
           "http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-12418",
            "http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-17563"
        ],
        "RelatedVulnerabilities": ["CVE-2020-12345"],
        "Vendor": {
            "Name": "Alas",
            "Url":"https://alas.aws.amazon.com/ALAS-2020-1337.html",
            "VendorCreatedAt":"2020-01-16T00:01:43Z",
            "VendorSeverity":"Medium",
            "VendorUpdatedAt":"2020-01-16T00:01:43Z"
        },
        "VulnerablePackages": [
            {
                "Architecture": "x86_64",
                "Epoch": "1",
                "FilePath": "/tmp",
                "FixedInVersion": "0.14.0",
                "Name": "openssl",
                "PackageManager": "OS",
                "Release": "16.amzn2.0.3",
                "Remediation": "Update aws-crt to 0.14.0",
                "SourceLayerArn": "arn:aws:lambda:us-west-2:123456789012:layer:id",
                "SourceLayerHash": "sha256:c1962c35b63a6ff6ce7df6e042ee82371a605ca9515569edec46ff14f926f001",
                "Version": "1.0.2k"
            }
        ]
    }
]

Alur kerja

Ob Workflow jek tersebut memberikan informasi tentang status penyelidikan terhadap suatu temuan.

Bidang ini dimaksudkan untuk digunakan pelanggan dengan alat remediasi, orkestrasi, dan tiket. Ini tidak dimaksudkan untuk menemukan penyedia.

Anda hanya dapat memperbarui Workflow bidang dengan BatchUpdateFindings. Pelanggan juga dapat memperbaruinya dari konsol. Lihat Mengatur status alur kerja temuan di Security Hub CSPM.

Contoh

"Workflow": {
    "Status": "NEW"
}

WorkflowState (Pensiun)

Objek ini dihentikan dan telah digantikan oleh Status bidang Workflow objek.

Bidang ini menyediakan status alur kerja dari sebuah temuan. Produk temuan dapat memberikan nilai NEW untuk bidang ini. Produk temuan dapat memberikan nilai untuk bidang ini jika ada analog yang bermakna dalam sistem produk temuan.

Contoh

"WorkflowState": "NEW"