기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

제어 조사 결과 생성 및 업데이트

AWS Security Hub 는 보안 제어에 대한 검사를 실행하여 조사 결과를 생성합니다. 이러한 조사 결과는 AWS 보안 조사 결과 형식()을 사용합니다ASFF. 단, 검색 조사 결과 크기가 최대 240KB를 초과하면 Resource.Details 객체가 제거됩니다. 리소스가 AWS Config 지원하는 제어의 경우 AWS Config 콘솔에서 리소스 세부 정보를 볼 수 있습니다.

Security Hub는 일반적으로 제어에 대한 각 보안 검사에 대해 요금을 부과합니다. 그러나 여러 제어가 동일한 AWS Config 규칙을 사용하는 경우 Security Hub는 AWS Config 규칙에 대해 각 검사에 대해 한 번만 요금을 부과합니다. 통합 제어 조사 결과를 활성화하면 Security Hub는 제어가 여러 사용 표준에 포함되어 있더라도 보안 검사를 위한 단일 조사 결과를 생성합니다.

예를 들어 규칙 AWS Config iam-password-policy은 Center for Internet Security (CIS) AWS Foundations Benchmark 표준 및 기본 보안 모범 사례 표준의 여러 제어에서 사용됩니다. Security Hub는 해당 AWS Config 규칙에 대해 검사를 실행할 때마다 각 관련 제어에 대해 별도의 결과를 생성하지만 검사에 대해 한 번만 요금을 청구합니다.

통합 제어 조사 결과

계정에서 통합 제어 조사 결과가 활성화된 경우 제어가 여러 활성화된 표준에 적용되더라도 Security Hub는 제어의 각 보안 검사에 대해 하나의 새로운 조사 결과 또는 조사 결과 업데이트를 생성합니다. 제어 목록과 해당 제어가 적용되는 표준을 보려면 Security Hub 제어 참조 섹션을 참조하세요. 조사 결과 노이즈를 줄이려면 통합 제어 조사 결과를 활성화하는 것이 좋습니다.

2023년 2월 23일 AWS 계정 이전에에 대해 Security Hub를 활성화한 경우이 섹션 뒷부분의 지침에 따라 통합 제어 결과를 활성화할 수 있습니다. 2023년 2월 23일 또는 그 이후에 Security Hub를 활성화하면 계정에서 통합 제어 탐지 조사 결과가 자동으로 활성화됩니다. 하지만 AWS Organizations과의 Security Hub 통합을 사용하거나 수동 초대 과정을 통해 초대된 멤버 계정을 사용하는 경우에는 관리자 계정에서 활성화된 경우에만 멤버 계정에서 통합 제어 조사 결과가 활성화됩니다. 관리자 계정에서 이 기능을 비활성화하면 멤버 계정에서도 해당 기능이 비활성화됩니다. 이 동작은 새로운 및 기존 구성원 계정에 적용됩니다.

계정에서 통합 제어 조사 결과를 비활성화하면 Security Hub는 제어를 포함하는 활성화된 각 표준에 대해 보안 검사별로 별도의 조사 결과를 생성합니다. 예를 들어 활성화된 표준 4개가 동일한 기본 AWS Config 규칙과 제어를 공유하는 경우 제어의 보안 검사 후 별도의 조사 결과 4개를 받게 됩니다. 통합 제어 조사 결과를 활성화하면 조사 결과가 하나만 수신됩니다.

통합 제어 조사 결과를 활성화하면 Security Hub는 표준에 구애받지 않는 새로운 조사 결과를 생성하고 원래 표준 기반 조사 결과를 보관합니다. 일부 제어 조사 결과 필드 및 값이 변경되어 기존 워크플로에 영향을 미칠 수 있습니다. 이러한 변경에 대한 내용은 통합 제어 조사 결과 - ASFF 변경 사항 섹션을 참조하세요.

통합 제어 조사 결과를 켜면 통합 타사 제품이 Security Hub에서 수신하는 조사 결과에도 영향을 미칠 수 있습니다. AWS v2.0.0의 자동 보안 응답은 통합 제어 조사 결과를 지원합니다.

통합 제어 조사 결과를 활성화하거나 비활성화하려면 관리자 계정 또는 독립형 계정으로 로그인해야 합니다.

Security Hub console

통합 제어 조사 결과를 활성화 또는 비활성화하려면(콘솔)

1. 에서 AWS Security Hub 콘솔을 엽니다https://console.aws.amazon.com/securityhub/.

2. 탐색 창에서 설정을 선택합니다.

3. 일반 탭을 선택합니다.

4. 제어의 경우, 통합 제어 조사 결과를 켜세요.

5. 저장(Save)을 선택합니다.

Security Hub API, AWS CLI

통합 제어 조사 결과를 활성화 또는 비활성화하려면(API, AWS CLI)

1. UpdateSecurityHubConfiguration 작업을 사용합니다. 를 사용하는 경우 update-security-hub-configuration 명령을 AWS CLI실행합니다.

2. 통합 제어 조사 결과를 활성화하려면 control-finding-generator을(를) SECURITY_CONTROL와(과) 같게 설정합니다. 통합 제어 조사 결과를 비활성화하려면 control-finding-generator을 STANDARD_CONTROL와 같게 설정합니다.

   예를 들어 다음 AWS CLI 명령은 통합 제어 결과를 활성화합니다. 이 예제는 Linux, macOS 또는 Unix용으로 형식이 지정되며, 가독성을 높이기 위해 백슬래시(\) 줄 연속 문자를 사용합니다.

   $ aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator SECURITY_CONTROL

   다음 AWS CLI 명령은 통합 제어 결과를 비활성화합니다. 이 예제는 Linux, macOS 또는 Unix용으로 형식이 지정되며, 가독성을 높이기 위해 백슬래시(\) 줄 연속 문자를 사용합니다.

   $ aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator STANDARD_CONTROL

새 조사 결과 생성 대 기존 조사 결과 업데이트

Security Hub는 일정에 따라 보안 검사를 실행합니다. 지정된 컨트롤에 대해 후속 검사를 수행하면 새 결과가 생성될 수 있습니다. 예를 들어 제어 상태가에서 FAILED로 변경될 수 있습니다PASSED. 이 경우 Security Hub는 최신 결과를 포함하는 새 결과를 생성합니다.

지정된 규칙에 대한 후속 검사에서 현재 결과와 동일한 결과가 생성되면 Security Hub는 기존 결과를 업데이트합니다. 새로운 조사 결과는 생성되지 않습니다.

Security Hub는 연결된 리소스가 삭제되거나, 리소스가 존재하지 않거나, 제어가 비활성화된 경우, 제어에서 찾은 조사 결과를 자동으로 보관합니다. 연결된 서비스가 현재 사용되지 않기 때문에 리소스가 더 이상 존재하지 않을 수 있습니다. 조사 결과는 다음 기준 중 하나에 따라 자동으로 보관됩니다.

제어 결과 자동화 및 억제

Security Hub 자동화 규칙을 사용하여 특정 제어 결과를 업데이트하거나 억제할 수 있습니다. 조사 결과를 숨기면 계정에서 여전히 액세스할 수 있지만 조사 결과를 해결하기 위해 조치가 필요하지 않다는 믿음을 나타냅니다. 관련 없는 결과를 숨기면 결과 노이즈를 줄일 수 있습니다. 예를 들어 테스트 계정에서 생성된 제어 결과를 숨길 수 있습니다. 또는 특정 리소스와 관련된 조사 결과를 숨길 수 있습니다. 조사 결과 자동 업데이트 또는 억제에 대한 자세한 내용은 섹션을 참조하세요Security Hub의 자동화 규칙 이해.

자동화 규칙은 특정 제어 결과를 업데이트하거나 억제하려는 경우에 적합합니다. 그러나 제어가 조직 또는 사용 사례와 관련이 없는 경우 제어를 비활성화하는 것이 좋습니다. 제어를 비활성화하면 Security Hub는 해당 제어에 대한 보안 검사를 실행하지 않으며 요금이 부과되지 않습니다.

제어 결과에 대한 규정 준수 세부 정보

제어의 보안 검사에서 생성된 조사 결과의 경우 AWS 보안 조사 결과 형식(ASFF)의 Compliance 필드에는 제어 조사 결과와 관련된 세부 정보가 포함됩니다. Compliance 필드에는 다음 정보가 포함됩니다.

다음 테이블에는 사용 가능한 상태 코드 및 설명이 나와 있습니다. 수정 단계는 원인 코드와 함께 조사 결과를 생성한 제어에 따라 달라집니다. Security Hub 제어 참조에서 제어를 선택하면 해당 제어의 수정 단계를 볼 수 있습니다.

ProductFields 제어 결과에 대한 세부 정보

Security Hub가 보안 검사를 실행하고 제어 결과를 생성할 때의 ProductFields 속성에는 다음 필드가 ASFF 포함됩니다.

제어 결과의 심각도 수준

Security Hub 제어 기능에 할당된 심각도는 해당 제어 기능의 중요성을 식별합니다. 제어의 심각도에 따라 제어 조사 결과에 할당되는 심각도 레이블이 결정됩니다.

심각도 기준

제어의 심각도는 다음 기준에 대한 평가를 기반으로 결정됩니다.

예를 들어, 다음 구성 약점을 고려해 보세요.

두 약점 모두 공격자가 악용하기 어렵습니다. 두 경우 모두 공격자는 보안 인증 도용이나 다른 방법을 사용하여 사용자 키를 획득할 수 있습니다. 그런 다음 이를 사용하여 무단으로 리소스에 액세스할 수 있습니다.

하지만 위협 행위자가 루트 사용자 액세스 키를 획득하면 액세스 권한이 더 커지므로 보안 침해 가능성이 훨씬 높아집니다. 따라서 루트 사용자 키 취약점의 심각도가 더 높습니다.

심각도는 기본 리소스의 중요도를 고려하지 않습니다. 중요도는 조사 결과와 관련된 리소스의 중요도 수준입니다. 예를 들어, 미션 크리티컬 애플리케이션과 관련된 리소스와 비프로덕션 테스트와 관련된 리소스보다 더 중요합니다. 리소스 중요도 정보를 캡처하려면 AWS Security Finding Format()의 Criticality 필드를 사용합니다ASFF.

다음 표에는 보안 레이블에 대한 악용 난이도과 손상 가능성이 나와 있습니다.

심각도 정의

심각도 레이블은 다음과 같이 정의됩니다.