Standard di gestione dei servizi: AWS Control Tower

Questa sezione fornisce informazioni su Service-Managed Standard:. AWS Control Tower

Che cos'è Service-Managed Standard:? AWS Control Tower

Questo standard è progettato per gli utenti di AWS Security Hub e AWS Control Tower. Ti consente di configurare i controlli proattivi AWS Control Tower insieme ai controlli di rilevamento di Security Hub nel AWS Control Tower servizio.

I controlli proattivi aiutano a garantire il Account AWS mantenimento della conformità perché segnalano le azioni che possono portare a violazioni o configurazioni errate delle politiche. I controlli investigativi rilevano la non conformità delle risorse (ad esempio, configurazioni errate) all'interno dell'azienda. Account AWS Abilitando controlli proattivi e investigativi per l' AWS ambiente, è possibile migliorare il livello di sicurezza nelle diverse fasi di sviluppo.

Nella console e nell'API di Security Hub, puoi visualizzare Service-Managed Standard: AWS Control Tower insieme ad altri standard di Security Hub.

Creazione dello standard

Questo standard è disponibile solo se lo si crea in AWS Control Tower. AWS Control Tower crea lo standard quando si attiva per la prima volta un controllo applicabile utilizzando uno dei seguenti metodi:

I controlli del Security Hub sono identificati nella AWS Control Tower console come SH. ControlID(ad esempio, SH. CodeBuild.1).

Quando crei lo standard, se non hai già abilitato Security Hub, abilita AWS Control Tower anche Security Hub per te.

Se non lo hai configurato AWS Control Tower, non puoi visualizzare o accedere a questo standard nella console Security Hub, nell'API Security Hub o AWS CLI. Anche se è stato configurato AWS Control Tower, non è possibile visualizzare o accedere a questo standard in Security Hub senza prima aver creato lo standard AWS Control Tower utilizzando uno dei metodi precedenti.

Questo standard è disponibile solo nei paesi in Regioni AWS cui AWS Control Tower è disponibile, tra cui AWS GovCloud (US).

Abilitazione e disabilitazione dei controlli nello standard

Dopo aver creato lo standard nella AWS Control Tower console, è possibile visualizzare lo standard e i controlli disponibili in entrambi i servizi.

Dopo aver creato lo standard per la prima volta, non ci sono controlli abilitati automaticamente. Inoltre, quando Security Hub aggiunge nuovi controlli, questi non vengono abilitati automaticamente per Service-Managed Standard:. AWS Control TowerÈ necessario abilitare e disabilitare i controlli per lo standard in AWS Control Tower utilizzando uno dei seguenti metodi:

Quando si modifica lo stato di attivazione di un controllo in AWS Control Tower, la modifica si riflette anche in Security Hub.

Tuttavia, la disabilitazione di un controllo in Security Hub che è abilitato in AWS Control Tower comporta una deriva del controllo. Lo stato del controllo in AWS Control Tower viene visualizzato come. Drifted È possibile risolvere questa deriva selezionando Re-register OU nella AWS Control Tower console oppure disabilitando e riabilitando il controllo AWS Control Tower utilizzando uno dei metodi precedenti.

Il completamento delle azioni di attivazione e disabilitazione in aiuta a evitare la deriva del controllo. AWS Control Tower

Quando abiliti o disabiliti i controlli in AWS Control Tower, l'azione si applica a tutti gli account e alle regioni. Se abiliti e disabiliti i controlli in Security Hub (non consigliato per questo standard), l'azione si applica solo all'account e alla regione correnti.

Visualizzazione dello stato di attivazione e dello stato di controllo

È possibile visualizzare lo stato di attivazione di un controllo utilizzando uno dei seguenti metodi:

Un controllo che disabiliti AWS Control Tower ha lo stato di attivazione in Security Hub Disabled a meno che non abiliti esplicitamente tale controllo in Security Hub.

Security Hub calcola lo stato del controllo in base allo stato del flusso di lavoro e allo stato di conformità dei risultati del controllo. Per ulteriori informazioni sullo stato di attivazione e sullo stato di controllo, vedere. Visualizzazione dei dettagli di un controllo

In base agli stati di controllo, Security Hub calcola un punteggio di sicurezza per Service-Managed Standard:. AWS Control Tower Questo punteggio è disponibile solo in Security Hub. Inoltre, puoi visualizzare i risultati del controllo solo in Security Hub. Il punteggio di sicurezza standard e i risultati del controllo non sono disponibili in AWS Control Tower.

Eliminazione dello standard

È possibile eliminare questo standard disattivando tutti i controlli applicabili utilizzando uno dei seguenti metodi: AWS Control Tower

La disabilitazione di tutti i controlli elimina lo standard in tutti gli account gestiti e nelle regioni governate in. AWS Control Tower L'eliminazione dello standard in lo AWS Control Tower rimuove dalla pagina Standard della console di Security Hub e non è più possibile accedervi utilizzando l'API Security Hub o AWS CLI.

La disabilitazione del servizio Security Hub rimuove Service-Managed Standard AWS Control Tower e tutti gli altri standard che hai abilitato.

Formato di campo di ricerca per Service-Managed Standard: AWS Control Tower

Quando crei Service-Managed Standard: AWS Control Tower e ne abiliti i controlli, inizierai a ricevere i risultati del controllo in Security Hub. Security Hub riporta i risultati del controllo inAWS Formato ASFF (Security Finding Format). Questi sono i valori ASFF per Amazon Resource Name (ARN) di questo standard e: GeneratorId

Per un esempio di risultato per Service-Managed Standard: AWS Control Tower, vedere. Esempi di risultati di controllo in Security Hub

Controlli che si applicano a Service-Managed Standard: AWS Control Tower

Service-Managed Standard: AWS Control Tower supporta un sottoinsieme di controlli che fanno parte dello standard AWS Foundational Security Best Practices (FSBP). Scegli un controllo per visualizzarne le informazioni, incluse le procedure di correzione in caso di risultati non riusciti.

L'elenco seguente mostra i controlli disponibili per Service-Managed Standard:. AWS Control Tower I limiti regionali sui controlli corrispondono ai limiti regionali sui controlli corollari dello standard FSBP. Questo elenco mostra il controllo di sicurezza indipendente dagli standard. IDs Nella AWS Control Tower console, i controlli IDs sono formattati come SH. ControlID(ad esempio SH. CodeBuild.1). In Security Hub, se i risultati del controllo consolidato sono disattivati nel tuo account, il ProductFields.ControlId campo utilizza l'ID di controllo standard. L'ID di controllo basato su standard è formattato come CT. ControlId(ad esempio, CT. CodeBuild.1).

Per ulteriori informazioni su questo standard, consulta i controlli del Security Hub nella Guida AWS Control Tower per l'utente.