翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

BatchImportFindings 検出結果プロバイダー用

検出結果プロバイダーは、 BatchImportFindingsオペレーションを使用して、新しい Security Hub 検出結果を作成し、作成した検出結果を更新できます。作成しなかった検出結果を更新することはできません。

顧客、SIEMs、チケット発行ツール、およびSOARツールは、 BatchUpdateFindings を使用して、検出結果プロバイダーからの検出結果の調査に関連する更新を行う必要があります。詳細については、BatchUpdateFindings 顧客向け を参照してください。

検出結果を作成または更新するBatchImportFindingsリクエスト AWS Security Hub を受信するたびに、自動的に が生成されます。 Security Hub Findings - Imported Amazon のイベント EventBridge。そのイベントに対して自動アクションを実行できます。詳細については、自動レスポンスと修復 EventBridge のための の使用 を参照してください。

BatchImportFindings を使用するための前提条件

BatchImportFindings を、次のいずれかで呼び出す必要があります。

Security Hub は、Security Hub が有効になっているアカウントの結果更新のみを受け入れます。結果プロバイダーも有効にする必要があります。Security Hub が無効になっているが、結果プロバイダーとの統合が有効になっていない場合は、結果は FailedFindings リストで返され、InvalidAccess エラーが表示されます。

結果を作成するか更新するかの決定

結果を作成するか更新するかを決定するために、Security Hub は ID フィールドをチェックします。の値が既存の検出結果と一致しIDない場合、Security Hub は新しい検出結果を作成します。

が既存の検出結果IDと一致する場合、Security Hub は更新のために UpdatedAtフィールドをチェックし、次のように処理します。

による結果の更新の制限 BatchImportFindings

検出結果プロバイダーは、 BatchImportFindingsを使用して既存の検出結果の次の属性を更新することはできません。

Security Hub は、これらの属性のBatchImportFindingsリクエストで提供されたコンテンツを無視します。顧客、または顧客に代わって行動するエンティティ (チケット発行ツールなど) は、 BatchUpdateFindingsを使用してこれらの属性を更新できます。

での結果の更新 FindingProviderFields

検出結果プロバイダーは、 AWS セキュリティ検出結果形式 () で以下の最上位属性を更新BatchImportFindingsするために を使用してはなりませんASFF。

代わりに、検出結果プロバイダーは FindingProviderFields オブジェクトを使用してこれらの属性の値を提供する必要があります。

例

"FindingProviderFields": {
    "Confidence": 42,
    "Criticality": 99,
    "RelatedFindings":[
      { 
        "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty", 
        "Id": "123e4567-e89b-12d3-a456-426655440000" 
      }
    ],
    "Severity": {
        "Label": "MEDIUM", 
        "Original": "MEDIUM"
    },
    "Types": [ "Software and Configuration Checks/Vulnerabilities/CVE" ]
}

BatchImportFindings リクエストの場合、Security Hub はトップレベル属性内および FindingProviderFields 内の値を以下のとおり処理します。