AWS のサービス Security Hub との統合

Security Hub のすべての検出結果は、標準のJSON形式である を使用しますASFF。ASFF には、検出結果のオリジン、影響を受けるリソース、検出結果の現在のステータスに関する詳細が含まれます。 は、 を介して Security Hub にマネージドルールとカスタムルールの評価 AWS Config を送信します EventBridge。Security Hub は、ルール評価を結果に変換ASFFし、ベストエフォートベースで結果を強化します。

Security Hub AWS Config に送信する検出結果のタイプ

統合がアクティブ化されると、 はすべての AWS Config マネージドルールとカスタムルールの評価を Security Hub AWS Config に送信します。Security Hub が有効になった後に実行された評価のみが送信されます。例えば、 AWS Config ルール評価で 5 つの失敗したリソースが明らかになったとします。その後、Security Hub を有効にし、ルールが 6 番目の失敗したリソースを公開すると、 は 6 番目のリソース評価のみを Security Hub AWS Config に送信します。

Security Hub コントロールでチェックを実行するために使用されるものなど、サービスにリンクされた AWS Config ルール からの評価は除外されます。

Security Hub への AWS Config 検出結果の送信

統合がアクティブ化されると、Security Hub は から結果を受け取るために必要なアクセス許可を自動的に割り当てます AWS Config。Security Hub は、この統合をアクティブ化し、Amazon AWS Config 経由で から検出結果をインポートする安全な方法を提供する service-to-serviceレベルアクセス許可を使用します EventBridge。

結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Config を作成すると、通常、5 分以内に Security Hub で検出結果を表示できます。

Security Hub が使用できない場合の再試行

AWS Config は、 を通じてベストエフォートベースで Security Hub に検出結果を送信します EventBridge。イベントが Security Hub に正常に配信されない場合、 EventBridge は最大 24 時間、または 185 回のいずれか早い方まで配信を再試行します。

Security Hub での既存の AWS Config 検出結果の更新

Security Hub に検出結果 AWS Config を送信すると、同じ検出結果の更新を Security Hub に送信して、検出結果アクティビティの追加観察結果を反映することができます。更新は ComplianceChangeNotification イベントについてのみ送信されます。コンプライアンスの変更が行われない場合、更新は Security Hub に送信されません。Security Hub では、結果は、最新の更新から 90 日後、または更新が行われない場合は作成日から 90 日後に削除されます。

Security Hub は、関連付けられたリソースを削除 AWS Config しても、 から送信された検出結果をアーカイブしません。

AWS Config 検出結果が存在するリージョン

AWS Config 検出結果はリージョンベースで発生します。 は検出結果が発生したのと同じリージョンの Security Hub に検出結果 AWS Config を送信します。

AWS Config 検出結果を表示するには、Security Hub ナビゲーションペインから検出結果を選択します。検出結果をフィルタリングして AWS Config 検出結果のみを表示するには、検索バーのドロップダウンで製品名を選択します。[Config] (設定) をクリックし、[Apply] (適用) を選択します。

Security Hub で AWS Config の検出結果名の解釈

Security Hub は、 AWS Config ルール評価を ルール評価に従う結果に変換しますAWS セキュリティ検出結果形式 (ASFF）。 AWS Config ルール評価では、 とは異なるイベントパターンが使用されますASFF。次の表は、Security Hub に表示される AWS Config ルール評価フィールドをASFF対応するフィールドとマッピングします。

重要度ラベルの解釈

AWS Config ルール評価のすべての検出結果のデフォルトの重要度ラベルは MEDIUMですASFF。BatchUpdateFindings API オペレーションを使用して、結果の重要度ラベルを更新できます。

からの一般的な検出結果 AWS Config

Security Hub は、 AWS Config ルール評価を に従う検出結果に変換しますASFF。以下は、 AWS Config の からの一般的な検出結果の例ですASFF。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

Security Hub を有効にすると、この統合は自動的に有効になります。 AWS Config すぐに Security Hub に検出結果の送信が開始されます。

Security Hub への検出結果の送信を停止するには、Security Hub コンソールまたは Security Hub を使用できますAPI。

検出結果の流れを停止する手順については、「」を参照してください統合からの検出結果フローの有効化。

Security Hub では、セキュリティの問題が調査結果として追跡されます。一部の検出結果は、他の AWS サービスやサードパーティーパートナーによって検出された問題から発生します。Security Hub には、セキュリティの問題を検出し、検出結果を生成するために使用する一連のルールもあります。

Security Hub には、これらすべてのソースからの結果を管理するためのツールが用意されています。結果の一覧を表示およびフィルタリングして、結果の詳細を表示できます。「Security Hub での検出結果の詳細と検出結果履歴の確認」を参照してください。結果の調査状況を追跡することもできます。「Security Hub の検出結果のワークフローステータスの設定」を参照してください。

Security Hub のすべての検出結果は、 と呼ばれる標準JSON形式を使用しますAWS セキュリティ検出結果形式 (ASFF）。ASFF には、問題のソース、影響を受けるリソース、および検出結果の現在のステータスに関する詳細が含まれます。

AWS Health は、Security Hub に検出結果を送信する AWS サービスの 1 つです。

Security Hub AWS Health に送信する検出結果のタイプ

統合を有効にすると、 は、リストされている 1 つ以上の仕様を満たす検出結果を Security Hub AWS Health に送信します。Security Hub は、 で検出結果を取り込みますAWS セキュリティ検出結果形式 (ASFF）。

Security Hub への AWS Health 検出結果の送信

から結果を受け入れることを選択すると AWS Health、Security Hub は から結果を受け取るために必要なアクセス許可を自動的に割り当てます AWS Health。Security Hub は service-to-service、ユーザーに代わって Amazon AWS Health 経由でこの統合と からのインポート結果を有効にする安全で簡単な方法を提供するレベルアクセス許可 EventBridge を使用します。Accept Findings を選択すると、Security Hub に から検出結果を消費するアクセス許可が付与されます AWS Health。

結果が送信されるまでのレイテンシー

が新しい検出結果 AWS Health を作成すると、通常 5 分以内に Security Hub に送信されます。

Security Hub が使用できない場合の再試行

AWS Health は、 を通じてベストエフォートベースで Security Hub に検出結果を送信します EventBridge。イベントが Security Hub に正常に配信されない場合、 EventBridge はイベントの送信を 24 時間再試行します。

Security Hub の既存の結果を更新する

Security Hub に検出結果 AWS Health を送信すると、同じ検出結果に更新を送信して、検出結果アクティビティの追加観察結果を Security Hub に反映できます。

結果が存在するリージョン

グローバルイベントの場合、 は、us-east-1 (AWS パーティション）、cn-northwest-1 (中国パーティション）、および gov-us-west-1 (GovCloud パーティション) の Security Hub に検出結果 AWS Health を送信します。 は、イベントが発生するのと同じリージョンまたはリージョンの Security Hub にリージョン固有のイベント AWS Health を送信します。

Security Hub で AWS Health 検出結果を表示するには、ナビゲーションパネルから検出結果を選択します。検出結果をフィルタリングして AWS Health 検出結果のみを表示するには、製品名フィールドからヘルスを選択します。

Security Hub で AWS Health の検出結果名の解釈

AWS Health は、 を使用して Security Hub に検出結果を送信しますAWS セキュリティ検出結果形式 (ASFF）。 AWS Health 検出では、Security Hub ASFF形式とは異なるイベントパターンが使用されます。次の表は、Security Hub に表示されるすべての AWS Health 検出結果フィールドとそのASFF対応するフィールドの詳細を示しています。

重要度ラベルの解釈

ASFF 結果の重要度ラベルは、次のロジックを使用して決定されます。

からの一般的な検出結果 AWS Health

AWS Health は、 を使用して Security Hub に検出結果を送信しますAWS セキュリティ検出結果形式 (ASFF）。以下は、 からの一般的な検出結果の例です AWS Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

Security Hub を有効にすると、この統合は自動的に有効になります。 AWS Health すぐに Security Hub に検出結果の送信が開始されます。

Security Hub への検出結果の送信を停止するには、Security Hub コンソールまたは Security Hub を使用できますAPI。

検出結果の流れを停止する手順については、「」を参照してください統合からの検出結果フローの有効化。