Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

BatchImportFindings per trovare fornitori

I provider di ricerca possono utilizzare l'BatchImportFindingsoperazione per creare nuovi risultati del Security Hub e aggiornare i risultati che hanno creato. Non possono aggiornare i risultati che non hanno creato.

I clienti SIEMs, gli strumenti di ticketing e gli strumenti SOAR devono utilizzare BatchUpdateFindingsper apportare aggiornamenti relativi alle indagini sui risultati della ricerca dei fornitori. Per informazioni, consultare BatchUpdateFindings per i clienti.

Ogni volta che AWS Security Hub riceve una BatchImportFindings richiesta di creazione o aggiornamento di un risultato, genera automaticamente un Security Hub Findings - Importedevento in Amazon EventBridge. Puoi intraprendere azioni automatiche su quell'evento. Per informazioni, consultare Utilizzo EventBridge per la risposta e la correzione automatizzate.

Prerequisiti per l'utilizzo di BatchImportFindings

BatchImportFindingsdeve essere chiamato da uno dei seguenti:

Security Hub può accettare la ricerca di aggiornamenti solo per gli account con Security Hub abilitato. Anche il provider di risultati deve essere abilitato. Se Security Hub è disabilitato o l'integrazione del provider di ricerca non è abilitata, i risultati vengono restituiti nell'FailedFindingselenco, con un InvalidAccess errore.

Determinazione per creare o aggiornare un risultato

Per determinare se creare o aggiornare un risultato, Security Hub controlla il ID campo. Se il valore di ID non corrisponde a un risultato esistente, Security Hub crea un nuovo risultato.

Se ID corrisponde a un risultato esistente, Security Hub controlla il UpdatedAt campo per l'aggiornamento e procede come segue:

Restrizioni sulla ricerca di aggiornamenti con BatchImportFindings

I fornitori di servizi di ricerca non possono BatchImportFindings utilizzare per aggiornare i seguenti attributi di un risultato esistente:

Security Hub ignora qualsiasi contenuto fornito in una BatchImportFindings richiesta per questi attributi. I clienti o le entità che agiscono per loro conto (come gli strumenti di ticketing) possono utilizzare BatchUpdateFindings per aggiornare questi attributi.

Aggiornamento dei risultati con FindingProviderFields

Inoltre, i fornitori di servizi di ricerca non dovrebbero BatchImportFindings aggiornare i seguenti attributi di primo livello nel AWS Security Finding Format (ASFF):

Invece, i provider di ricerca dovrebbero utilizzare l'FindingProviderFieldsoggetto per fornire valori per questi attributi.

Esempio

"FindingProviderFields": {
    "Confidence": 42,
    "Criticality": 99,
    "RelatedFindings":[
      { 
        "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
        "Id": "123e4567-e89b-12d3-a456-426655440000" 
      }
    ],
    "Severity": {
        "Label": "MEDIUM", 
        "Original": "MEDIUM"
    },
    "Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
}

Per BatchImportFindings le richieste, Security Hub gestisce i valori negli attributi di primo livello e nel modo FindingProviderFieldsseguente.