Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

BatchImportFindings per trovare fornitori

I fornitori di servizi di ricerca possono utilizzare l'BatchImportFindingsoperazione per creare nuovi risultati in AWS Security Hub CSPM. Possono anche utilizzare questa operazione per aggiornare i risultati che hanno creato. I fornitori di servizi di ricerca non possono aggiornare i risultati che non hanno creato.

I clienti, i SIEM, il ticketing, il SOAR e altri tipi di strumenti devono utilizzare l'BatchUpdateFindingsoperazione per apportare aggiornamenti relativi all'analisi dei risultati della ricerca dei fornitori. Per ulteriori informazioni, consulta BatchUpdateFindings per i clienti.

Quando Security Hub CSPM riceve una BatchImportFindings richiesta per creare o aggiornare un risultato, genera automaticamente un evento in Amazon. Security Hub Findings - Imported EventBridge Puoi intraprendere un'azione automatica su quell'evento. Per ulteriori informazioni, consulta Utilizzo EventBridge per la risposta e la correzione automatiche.

Prerequisiti per l'utilizzo di BatchImportFindings

BatchImportFindingsdeve essere chiamato da uno dei seguenti:

Security Hub CSPM può accettare la ricerca di aggiornamenti solo per gli account su cui Security Hub CSPM è abilitato. Anche il provider di risultati deve essere abilitato. Se Security Hub CSPM è disabilitato o l'integrazione del provider di ricerca non è abilitata, i risultati vengono restituiti nell'elenco, con un errore. FailedFindings InvalidAccess

Determinazione per creare o aggiornare un risultato

Per determinare se creare o aggiornare un risultato, Security Hub CSPM controlla il campo. ID Se il valore di ID non corrisponde a un risultato esistente, Security Hub CSPM crea un nuovo risultato.

Se ID corrisponde a un risultato esistente, Security Hub CSPM controlla il UpdatedAt campo per l'aggiornamento e procede come segue:

Restrizioni alla ricerca degli aggiornamenti con BatchImportFindings

I fornitori di servizi di ricerca non possono BatchImportFindings utilizzare per aggiornare i seguenti attributi di una ricerca esistente:

Security Hub CSPM ignora qualsiasi contenuto fornito in una BatchImportFindings richiesta per questi attributi. I clienti o le entità che agiscono per loro conto (come gli strumenti di ticketing) possono utilizzare BatchUpdateFindings per aggiornare questi attributi.

Aggiornamento dei risultati con FindingProviderFields

Inoltre, i fornitori di servizi di ricerca non dovrebbero essere utilizzati BatchImportFindings per aggiornare i seguenti attributi di primo livello nel AWS Security Finding Format (ASFF):

Invece, la ricerca dei provider dovrebbe utilizzare l'FindingProviderFieldsoggetto per fornire valori per questi attributi.

Esempio

"FindingProviderFields": {
    "Confidence": 42,
    "Criticality": 99,
    "RelatedFindings":[
      { 
        "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
        "Id": "123e4567-e89b-12d3-a456-426655440000" 
      }
    ],
    "Severity": {
        "Label": "MEDIUM", 
        "Original": "MEDIUM"
    },
    "Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
}

Per BatchImportFindings le richieste, Security Hub CSPM gestisce i valori negli attributi di primo livello e come segue. FindingProviderFields