구성 정책 생성 및 연결 - AWS 보안 허브

기계 번역으로 제공되는 번역입니다. 제공된 번역과 원본 영어의 내용이 상충하는 경우에는 영어 버전이 우선합니다.

구성 정책 생성 및 연결

위임된 AWS Security Hub 관리자 계정은 Security Hub, 표준 및 제어가 지정된 계정 및 조직 단위()에서 구성되는 방법을 지정하는 구성 정책을 생성할 수 있습니다OUs. 구성 정책은 위임된 관리자가 이를 하나 이상의 계정 또는 조직 단위(OUs) 또는 루트에 연결한 후에만 적용됩니다. 위임된 관리자는 자체 관리형 구성을 계정, OUs또는 루트와 연결할 수도 있습니다.

구성 정책을 처음 생성하는 경우 먼저 Security Hub에서 구성 정책이 작동하는 방식 섹션을 검토하는 것이 좋습니다.

선호하는 액세스 방법을 선택하고 단계에 따라 구성 정책 또는 자체 관리형 구성을 생성하고 연결합니다. Security Hub 콘솔을 사용하는 경우 구성을 여러 계정과 연결하거나 OUs 동시에 연결할 수 있습니다. Security Hub API 또는 를 사용하는 경우 각 요청에서 구성을 하나의 계정 또는 OU에만 연결할 AWS CLI수 있습니다.

참고

중앙 구성을 사용하는 경우 Security Hub는 홈 리전을 제외한 모든 리전의 글로벌 리소스가 포함된 제어를 자동으로 비활성화합니다. 구성 정책을 사용할 수 있는 모든 리전에서 구성 정책을 통해 활성화하도록 선택한 기타 제어입니다. 이러한 제어에 대한 결과를 하나의 리전으로 제한하려면 AWS Config 레코더 설정을 업데이트하고 홈 리전을 제외한 모든 리전에서 글로벌 리소스 레코딩을 끌 수 있습니다. 중앙 구성을 사용하는 경우 홈 리전 또는 연결된 리전에서 사용할 수 없는 제어에 대한 적용 범위가 부족합니다. 글로벌 리소스와 관련된 제어 목록은 섹션을 참조하세요글로벌 리소스를 사용하는 제어.

Security Hub console
구성 정책을 만들고 연결하려면

  1. 에서 AWS Security Hub 콘솔을 엽니다https://console.aws.amazon.com/securityhub/.

    홈 리전에서 위임된 Security Hub 관리자 계정의 보안 인증 정보를 사용하여 로그인합니다.

  2. 탐색 창에서 구성 및 정책 탭을 선택합니다. 그런 다음 정책 생성을 선택합니다.

  3. 구성 정책을 처음 만들면 조직 구성 페이지의 구성 유형 아래에 세 가지 옵션이 표시됩니다. 구성 정책을 하나 이상 이미 만든 경우 사용자 지정 정책 옵션만 표시됩니다.

    • AWS 권장 정책을 사용하려면 전체 조직에서 권장 Security Hub 구성 사용을 선택합니다. 권장 정책은 모든 조직 계정에서 Security Hub를 활성화하고 AWS , 기본 보안 모범 사례(FSBP) 표준을 활성화하며, 모든 신규 및 기존 FSBP 제어를 활성화합니다. 제어는 기본 파라미터 값을 사용합니다.

    • 나중에 구성 정책을 만들려면 아직 구성할 준비가 되지 않았음을 선택합니다.

    • 사용자 지정 정책을 선택하여 사용자 지정 구성 정책을 생성합니다. Security Hub를 활성화 또는 비활성화할지 여부, 활성화할 표준, 해당 표준에서 활성화할 제어를 지정합니다. 필요에 따라 사용자 지정 파라미터를 지원하는 하나 이상의 활성화된 제어에 대해 사용자 지정 파라미터 값을 지정합니다.

  4. 계정 섹션에서 구성 정책을 적용할 대상 계정OUs, 또는 루트를 선택합니다.

    • 구성 정책을 루트에 적용하려면 모든 계정을 선택합니다. 여기에는 조직에 적용되거나 상속된 다른 정책이 없는 모든 계정 및 OUs 이 포함됩니다.

    • 구성 정책을 특정 계정 또는 에 적용하려면 특정 계정을 선택합니다OUs. 계정 를 입력IDs하거나 조직 구조OUs에서 계정 및 를 선택합니다. 정책을 생성할 때 최대 15개의 대상(계정, OUs또는 루트)에 정책을 적용할 수 있습니다. 더 큰 숫자를 지정하려면 정책 생성 후 편집하고 추가 대상에 적용합니다.

    • 구성 정책을 현재 위임된 관리자 계정에 적용하려면 위임된 관리자만을 선택합니다.

  5. Next(다음)를 선택합니다.

  6. 검토 및 배포 페이지에서 구성 정책 세부 정보를 검토합니다. 그런 다음 정책 생성 및 연결을 선택합니다. 홈 리전 및 연결된 리전에서 이 작업은 이 구성 정책과 연결된 계정의 기존 구성 설정보다 우선 적용됩니다. 계정은 적용 또는 상위 노드로부터의 상속을 통해 구성 정책에 연결될 수 있습니다. 적용된 대상OUs의 하위 계정 및 는 특별히 제외되거나 자체 관리되거나 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

Security Hub API
구성 정책을 만들고 연결하려면

  1. 호출 CreateConfigurationPolicy API 홈 리전의 Security Hub 위임 관리자 계정에서.

  2. Name에서 구성 정책의 고유한 이름을 입력합니다. 필요에 따라 Description에서 구성 정책에 대한 설명을 제공할 수 있습니다.

  3. ServiceEnabled 필드에서는 이 구성 정책에서 Security Hub를 활성화 또는 비활성화할지 여부를 지정합니다.

  4. EnabledStandardIdentifiers 필드에서는 이 구성 정책에서 활성화할 Security Hub 표준을 지정합니다.

  5. SecurityControlsConfiguration 개체에서는 이 구성 정책에서 활성화 또는 비활성화하려는 제어를 지정합니다. EnabledSecurityControlIdentifiers를 선택하면 지정된 제어가 활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 비활성화됩니다. DisabledSecurityControlIdentifiers를 선택하면 지정된 제어가 비활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 활성화됩니다.

  6. 필요에 따라 파라미터를 사용자 지정하려는 활성화된 제어를 SecurityControlCustomParameters 필드에 지정할 수 있습니다. ValueType 필드에 CUSTOM을 입력하고 Value 필드에 사용자 지정 파라미터 값을 입력합니다. 값은 올바른 데이터 유형이어야 하며 Security Hub에서 지정한 유효한 범위 내에 있어야 합니다. 일부 제어만 사용자 지정 파라미터 값을 지원합니다. 자세한 내용은 Security Hub의 제어 매개변수 이해 단원을 참조하십시오.

  7. 계정 또는 에 구성 정책을 적용하려면 OUs StartConfigurationPolicyAssociation API 홈 리전의 Security Hub 위임 관리자 계정에서.

  8. ConfigurationPolicyIdentifier 필드에 정책의 Amazon 리소스 이름(ARN) 또는 범용 고유 식별자(UUID)를 입력합니다. ARN 및 는 CreateConfigurationPolicy 에서 반환UUID됩니다API. 자체 관리형 구성의 경우 ConfigurationPolicyIdentifier 필드는 와 같습니다SELF_MANAGED_SECURITY_HUB.

  9. Target 필드에는 이 구성 정책을 적용할 OU, 계정 또는 루트 ID를 입력합니다. 각 API 요청에는 하나의 대상만 제공할 수 있습니다. 선택한 대상OUs의 하위 계정 및 는 자체 관리되거나 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

구성 정책 생성 API 요청의 예:

{
    "Name": "SampleConfigurationPolicy",
    "Description": "Configuration policy for production accounts",
    "ConfigurationPolicy": {
        "SecurityHub": {
             "ServiceEnabled": true,
             "EnabledStandardIdentifiers": [
                    "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0",
                    "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"
                ],
            "SecurityControlsConfiguration": {
                "DisabledSecurityControlIdentifiers": [
                    "CloudTrail.2"
                ],
                "SecurityControlCustomParameters": [
                    {
                        "SecurityControlId": "ACM.1",
                        "Parameters": {
                            "daysToExpiration": {
                                "ValueType": "CUSTOM",
                                "Value": {
                                    "Integer": 15
                                }
                            }
                        }
                    }
                ]
            }
        }
    }
}

구성 정책을 연결하기 위한 API 요청의 예:

{
    "ConfigurationPolicyIdentifier": "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",
    "Target": {"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}
}
AWS CLI
구성 정책을 만들고 연결하려면

  1. 를 실행합니다. create-configuration-policy 홈 리전의 Security Hub 위임된 관리자 계정에서 명령을 내리세요.

  2. name에서 구성 정책의 고유한 이름을 입력합니다. 필요에 따라 description에서 구성 정책에 대한 설명을 제공할 수 있습니다.

  3. ServiceEnabled 필드에서는 이 구성 정책에서 Security Hub를 활성화 또는 비활성화할지 여부를 지정합니다.

  4. EnabledStandardIdentifiers 필드에서는 이 구성 정책에서 활성화할 Security Hub 표준을 지정합니다.

  5. SecurityControlsConfiguration 필드에서는 이 구성 정책에서 활성화 또는 비활성화하려는 제어를 지정합니다. EnabledSecurityControlIdentifiers를 선택하면 지정된 제어가 활성화됩니다. 활성화된 표준에 속하는 다른 제어(새로 릴리스된 제어 포함)는 비활성화됩니다. DisabledSecurityControlIdentifiers를 선택하면 지정된 제어가 비활성화됩니다. 활성화된 표준에 적용되는 다른 제어(새로 릴리스된 제어 포함)는 활성화됩니다.

  6. 필요에 따라 파라미터를 사용자 지정하려는 활성화된 제어를 SecurityControlCustomParameters 필드에 지정할 수 있습니다. ValueType 필드에 CUSTOM을 입력하고 Value 필드에 사용자 지정 파라미터 값을 입력합니다. 값은 올바른 데이터 유형이어야 하며 Security Hub에서 지정한 유효한 범위 내에 있어야 합니다. 일부 제어만 사용자 지정 파라미터 값을 지원합니다. 자세한 내용은 Security Hub의 제어 매개변수 이해 단원을 참조하십시오.

  7. 계정 또는 에 구성 정책을 적용하려면 OUs start-configuration-policy-association 홈 리전의 Security Hub 위임된 관리자 계정에서 명령을 내리세요.

  8. configuration-policy-identifier 필드에 구성 정책의 Amazon 리소스 이름(ARN) 또는 ID를 입력합니다. 이 ARN 및 ID는 create-configuration-policy 명령에 의해 반환됩니다.

  9. target 필드에는 이 구성 정책을 적용할 OU, 계정 또는 루트 ID를 입력합니다. 명령을 실행할 때마다 하나의 대상만 입력할 수 있습니다. 선택한 대상의 하위 항목은 자체 관리형이거나 다른 구성 정책을 사용하지 않는 한 이 구성 정책을 자동으로 상속합니다.

구성 정책을 만들기 위한 명령 예시:

aws securityhub --region us-east-1 create-configuration-policy \
--name "SampleConfigurationPolicy" \
--description "Configuration policy for production accounts" \
--configuration-policy '{"SecurityHub": {"ServiceEnabled": true, "EnabledStandardIdentifiers": ["arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0","arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/1.2.0"],"SecurityControlsConfiguration":{"DisabledSecurityControlIdentifiers": ["CloudTrail.2"], "SecurityControlCustomParameters": [{"SecurityControlId": "ACM.1", "Parameters": {"daysToExpiration": {"ValueType": "CUSTOM", "Value": {"Integer": 15}}}}]}}}'

구성 정책을 연결하기 위한 명령 예시:

aws securityhub --region us-east-1 start-configuration-policy-association \
--configuration-policy-identifier "arn:aws:securityhub:us-east-1:123456789012:configuration-policy/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111" \
--target '{"OrganizationalUnitId": "ou-examplerootid111-exampleouid111"}'

는 라는 필드를 StartConfigurationPolicyAssociation API 반환합니다AssociationStatus. 이 필드는 정책 연결이 보류 중인지 또는 성공 또는 실패 상태인지를 알려줍니다. PENDING에서 SUCCESS 또는 FAILURE로 상태가 변경되려면 최대 24시간이 걸릴 수 있습니다. 연결 상태에 대한 자세한 내용은 구성 정책의 연결 상태 검토 섹션을 참조하세요.