Servizio AWS integrazioni con Security Hub

AWS Security Hub supporta integrazioni con molti altri Servizi AWS.

A meno che non sia indicato di seguito, Servizio AWS le integrazioni che inviano i risultati a Security Hub vengono attivate automaticamente dopo aver abilitato Security Hub e l'altro servizio. Le integrazioni che ricevono i risultati del Security Hub potrebbero richiedere passaggi aggiuntivi per l'attivazione. Consulta le informazioni su ciascuna integrazione per saperne di più.

Panoramica delle integrazioni dei AWS servizi con Security Hub

Ecco una panoramica dei AWS servizi che inviano risultati a Security Hub o ricevono risultati da Security Hub.

AWS servizi che inviano i risultati a Security Hub

I seguenti AWS servizi si integrano con Security Hub inviando i risultati a Security Hub. Security Hub converte i risultati nel formato AWS Security Finding.

AWS Config (Invia i risultati)

AWS Config è un servizio che consente di valutare, controllare e valutare le configurazioni delle AWS risorse. AWS Config monitora e registra continuamente le configurazioni AWS delle risorse e consente di automatizzare la valutazione delle configurazioni registrate rispetto alle configurazioni desiderate.

Utilizzando l'integrazione con AWS Config, puoi vedere i risultati delle valutazioni delle regole AWS Config gestite e personalizzate come risultati in Security Hub. Questi esiti possono essere visualizzati insieme ad altri esiti di Security Hub, per fornire una panoramica completa della posizione di sicurezza.

AWS Config utilizza Amazon EventBridge per inviare valutazioni delle AWS Config regole a Security Hub. Security Hub trasforma le valutazioni delle regole in risultati che seguono il AWS Security Finding Format. Security Hub arricchisce quindi i risultati con il massimo impegno ottenendo ulteriori informazioni sulle risorse interessate, come Amazon Resource Name (ARN), i tag delle risorse e la data di creazione.

Per ulteriori informazioni su questa integrazione, consulta le seguenti sezioni.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

AWS Firewall Manager (Invia i risultati)

Firewall Manager invia i risultati a Security Hub quando una politica WAF (Web Application Firewall) per le risorse o una regola della lista di controllo degli accessi Web (Web Access Control List) non è conforme. Firewall Manager invia i risultati anche quando AWS Shield Advanced non protegge le risorse o quando viene identificato un attacco.

Dopo aver abilitato Security Hub, questa integrazione viene attivata automaticamente. Firewall Manager inizia immediatamente a inviare i risultati a Security Hub.

Per ulteriori informazioni sull'integrazione, visualizza la pagina Integrazioni nella console Security Hub.

Per ulteriori informazioni su Firewall Manager, consulta la Guida per AWS WAF gli sviluppatori.

Amazon GuardDuty (invia i risultati)

GuardDuty invia tutti i tipi di risultati che genera a Security Hub. Alcuni tipi di risultati hanno prerequisiti, requisiti di abilitazione o limitazioni regionali. Per ulteriori informazioni, consulta la sezione GuardDuty Ricerca dei tipi nella Amazon GuardDuty User Guide.

I nuovi risultati GuardDuty vengono inviati a Security Hub entro cinque minuti. Gli aggiornamenti ai risultati vengono inviati in base all'impostazione Updated results per Amazon EventBridge nelle GuardDuty impostazioni.

Quando si generano risultati di GuardDuty esempio utilizzando la pagina GuardDuty Impostazioni, Security Hub riceve i risultati del campione e omette il prefisso [Sample] nel tipo di risultato. Ad esempio, il tipo di ricerca del campione GuardDuty [SAMPLE] Recon:IAMUser/ResourcePermissions viene visualizzato come Recon:IAMUser/ResourcePermissions in Security Hub.

Dopo aver abilitato Security Hub, questa integrazione viene attivata automaticamente. GuardDuty inizia immediatamente a inviare i risultati a Security Hub.

Per ulteriori informazioni sull' GuardDuty integrazione, consulta Integrating with AWS Security Hub nella Amazon GuardDuty User Guide.

AWS Health (Invia i risultati)

AWS Health offre una visibilità continua sulle prestazioni delle risorse e sulla disponibilità delle tue Servizi AWS e Account AWS. È possibile utilizzare AWS Health gli eventi per scoprire in che modo le modifiche ai servizi e alle risorse potrebbero influire sulle applicazioni su cui vengono eseguite AWS.

L'integrazione con AWS Health non utilizzaBatchImportFindings. AWS Health Utilizza invece la messaggistica service-to-service degli eventi per inviare i risultati a Security Hub.

Per ulteriori informazioni sull'integrazione, consulta le seguenti sezioni.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

AWS Identity and Access Management Access Analyzer (Invia i risultati)

Con IAM Access Analyzer, tutti i risultati vengono inviati a Security Hub.

IAM Access Analyzer utilizza il ragionamento basato sulla logica per analizzare le politiche basate sulle risorse applicate alle risorse supportate nel tuo account. IAM Access Analyzer genera un risultato quando rileva una dichiarazione di policy che consente a un principale esterno di accedere a una risorsa del tuo account.

In IAM Access Analyzer, solo l'account amministratore può visualizzare i risultati degli analizzatori che si applicano a un'organizzazione. Per gli analizzatori di organizzazioni, il campo AwsAccountId ASFF riflette l'ID dell'account amministratore. SottoProductFields, il ResourceOwnerAccount campo indica l'account in cui è stato scoperto il risultato. Se abiliti gli analizzatori singolarmente per ogni account, Security Hub genera più risultati, uno che identifica l'ID dell'account amministratore e uno che identifica l'ID dell'account della risorsa.

Per ulteriori informazioni, consulta Integration with AWS Security Hub nella IAM User Guide.

Amazon Inspector (invia i risultati)

Amazon Inspector è un servizio di gestione delle vulnerabilità che analizza continuamente i carichi di lavoro alla ricerca AWS di eventuali vulnerabilità. Amazon Inspector rileva e analizza automaticamente le EC2 istanze Amazon e le immagini dei container che si trovano nell'Amazon Elastic Container Registry. La scansione cerca le vulnerabilità del software e l'esposizione involontaria della rete.

Dopo aver abilitato Security Hub, questa integrazione viene attivata automaticamente. Amazon Inspector inizia immediatamente a inviare tutti i risultati generati a Security Hub.

Per ulteriori informazioni sull'integrazione, consulta Integration with AWS Security Hub nella Amazon Inspector User Guide.

Security Hub può anche ricevere risultati da Amazon Inspector Classic. Amazon Inspector Classic invia a Security Hub i risultati generati tramite esecuzioni di valutazione per tutti i pacchetti di regole supportati.

Per ulteriori informazioni sull'integrazione, consulta Integration with AWS Security Hub nella Amazon Inspector Classic User Guide.

I risultati di Amazon Inspector e Amazon Inspector Classic utilizzano lo stesso ARN del prodotto. I risultati di Amazon Inspector riportano la seguente voce: ProductFields

"aws/inspector/ProductVersion": "2",

AWS IoT Device Defender (Invia i risultati)

AWS IoT Device Defender è un servizio di sicurezza che verifica la configurazione dei dispositivi IoT, monitora i dispositivi connessi per rilevare comportamenti anomali e aiuta a mitigare i rischi per la sicurezza.

Dopo aver abilitato entrambi AWS IoT Device Defender e Security Hub, visita la pagina delle integrazioni della console di Security Hub e scegli Accetta risultati per Audit, Detect o entrambi. AWS IoT Device Defender Audit and Detect inizia a inviare tutti i risultati a Security Hub.

AWS IoT Device Defender Audit invia riepiloghi dei controlli a Security Hub, che contengono informazioni generali per un tipo di controllo e un'attività di controllo specifici. AWS IoT Device Defender Detect invia i risultati delle violazioni per i comportamenti statici, statistici e di apprendimento automatico (ML) a Security Hub. Audit invia anche gli aggiornamenti dei risultati a Security Hub.

Per ulteriori informazioni su questa integrazione, consulta Integration with AWS Security Hub nella AWS IoT Developer Guide.

Amazon Macie (invia risultati)

Un risultato di Macie può indicare che esiste una potenziale violazione delle politiche o che dati sensibili, come le informazioni di identificazione personale (PII), sono presenti nei dati archiviati dalla tua organizzazione in Amazon S3.

Dopo aver abilitato Security Hub, Macie inizia automaticamente a inviare i risultati delle policy a Security Hub. Puoi configurare l'integrazione per inviare anche i risultati dei dati sensibili a Security Hub.

In Security Hub, il tipo di ricerca per una policy o una ricerca di dati sensibili viene modificato in un valore compatibile con ASFF. Ad esempio, il tipo di Policy:IAMUser/S3BucketPublic ricerca in Macie viene visualizzato come Effects/Data Exposure/Policy:IAMUser-S3BucketPublic in Security Hub.

Macie invia anche i risultati dei campioni generati a Security Hub. Per i risultati di esempio, il nome della risorsa interessata è macie-sample-finding-bucket e il valore del Sample campo ètrue.

Per ulteriori informazioni, consulta l'integrazione di Amazon Macie con AWS Security Hub nella Guida per l'utente di Amazon Macie.

AWS Systems Manager Patch Manager (invia i risultati)

AWS Systems Manager Patch Manager invia i risultati a Security Hub quando le istanze del parco macchine di un cliente non sono conformi allo standard di conformità delle patch.

Patch Manager automatizza il processo di applicazione di patch alle istanze gestite con aggiornamenti correlati alla sicurezza e di altro tipo.

Dopo aver abilitato Security Hub, questa integrazione viene attivata automaticamente. Systems Manager Patch Manager inizia immediatamente a inviare i risultati a Security Hub.

Per ulteriori informazioni sull'utilizzo di Patch Manager, vedere AWS Systems Manager Patch Manager nella Guida AWS Systems Manager per l'utente.

AWS servizi che ricevono risultati da Security Hub

I seguenti AWS servizi sono integrati con Security Hub e ricevono i risultati da Security Hub. Dove indicato, il servizio integrato può anche aggiornare i risultati. In questo caso, la ricerca degli aggiornamenti apportati nel servizio integrato si rifletterà anche in Security Hub.

AWS Audit Manager (Riceve i risultati)

AWS Audit Manager riceve i risultati da Security Hub. Questi risultati aiutano gli utenti di Audit Manager a prepararsi per gli audit.

Per ulteriori informazioni su Audit Manager, consulta la Guida per l'utente di AWS Audit Manager. AWS I controlli Security Hub supportati da AWS Audit Manager elencano i controlli per i quali Security Hub invia i risultati all'Audit Manager.

Amazon Q Developer nelle applicazioni di chat (riceve i risultati)

Amazon Q Developer nelle applicazioni di chat è un agente interattivo che ti aiuta a monitorare e interagire con AWS le tue risorse nei canali Slack e nelle chat room di Amazon Chime.

Amazon Q Developer nelle applicazioni di chat riceve i risultati da Security Hub.

Per ulteriori informazioni sull'integrazione di Amazon Q Developer nelle applicazioni di chat con Security Hub, consulta la panoramica sull'integrazione di Security Hub nella Guida per l'amministratore delle applicazioni Amazon Q Developer in chat.

Amazon Detective (riceve i risultati)

Detective raccoglie automaticamente i dati di registro dalle tue AWS risorse e utilizza l'apprendimento automatico, l'analisi statistica e la teoria dei grafi per aiutarti a visualizzare e condurre indagini di sicurezza più rapide ed efficienti.

L'integrazione di Security Hub con Detective ti consente di passare dai GuardDuty risultati di Amazon in Security Hub a Detective. Puoi quindi utilizzare gli strumenti e le visualizzazioni del Detective per indagare su di essi. L'integrazione non richiede alcuna configurazione aggiuntiva in Security Hub o Detective.

Per i risultati ricevuti da altri Servizi AWS, il pannello dei dettagli dei risultati sulla console Security Hub include una sottosezione Investigate in Detective. Quella sottosezione contiene un collegamento a Detective dove puoi approfondire il problema di sicurezza segnalato dalla scoperta. Puoi anche creare un grafico comportamentale in Detective basato sui risultati del Security Hub per condurre indagini più efficaci. Per ulteriori informazioni, consulta i risultati AWS di sicurezza nell'Amazon Detective Administration Guide.

Se l'aggregazione tra regioni è abilitata, quando si esegue il pivot dalla regione di aggregazione, Detective si apre nella regione in cui ha avuto origine il risultato.

Se un collegamento non funziona, per consigli sulla risoluzione dei problemi, consulta la sezione relativa alla risoluzione dei problemi del pivot.

Amazon Security Lake (riceve i risultati)

Security Lake è un servizio di data lake di sicurezza completamente gestito. Puoi utilizzare Security Lake per centralizzare automaticamente i dati di sicurezza provenienti da fonti cloud, locali e personalizzate in un data lake archiviato nel tuo account. Gli abbonati possono utilizzare i dati di Security Lake per casi d'uso investigativi e di analisi.

Per attivare questa integrazione, è necessario abilitare entrambi i servizi e aggiungere Security Hub come origine nella console di Security Lake, nell'API di Security Lake o AWS CLI. Una volta completati questi passaggi, Security Hub inizia a inviare tutti i risultati a Security Lake.

Security Lake normalizza automaticamente i risultati di Security Hub e li converte in uno schema open source standardizzato chiamato Open Cybersecurity Schema Framework (OCSF). In Security Lake, puoi aggiungere uno o più abbonati per utilizzare i risultati di Security Hub.

Per ulteriori informazioni su questa integrazione, comprese le istruzioni sull'aggiunta di Security Hub come fonte e sulla creazione di abbonati, consulta Integration with AWS Security Hub nella Amazon Security Lake User Guide.

AWS Systems Manager Explorer e OpsCenter (riceve e aggiorna i risultati)

AWS Systems Manager Esplora e OpsCenter ricevi i risultati da Security Hub e aggiorna tali risultati in Security Hub.

Explorer ti offre una dashboard personalizzabile, che fornisce approfondimenti e analisi chiave sullo stato operativo e sulle prestazioni del tuo AWS ambiente.

OpsCenter offre una posizione centrale per visualizzare, esaminare e risolvere gli elementi di lavoro operativi.

Per ulteriori informazioni su Explorer e OpsCenter, vedere Gestione delle operazioni nella Guida AWS Systems Manager per l'utente.

AWS Trusted Advisor (Riceve i risultati)

Trusted Advisor si basa sulle migliori pratiche apprese servendo centinaia di migliaia di AWS clienti. Trusted Advisor ispeziona l' AWS ambiente e quindi formula raccomandazioni quando esistono opportunità per risparmiare denaro, migliorare la disponibilità e le prestazioni del sistema o contribuire a colmare le lacune di sicurezza.

Quando abiliti Trusted Advisor sia Security Hub che Security Hub, l'integrazione viene aggiornata automaticamente.

Security Hub invia i risultati dei controlli relativi alle Buone Pratiche di Sicurezza AWS Fondamentali a Trusted Advisor.

Per ulteriori informazioni sull'integrazione di Security Hub con Trusted Advisor, vedere Visualizzazione dei controlli AWS di Security Hub AWS Trusted Advisor nella AWS Support User Guide.