AWS 서비스 Security Hub와의 통합

Security Hub의 모든 조사 결과는 표준 JSON 형식인 를 사용합니다ASFF. ASFF 에는 조사 결과의 오리진, 영향을 받는 리소스 및 조사 결과의 현재 상태에 대한 세부 정보가 포함되어 있습니다. 는 를 통해 관리형 및 사용자 지정 규칙 평가를 Security Hub로 AWS Config 보냅니다 EventBridge. Security Hub는 규칙 평가를 후속 조사 결과로 변환ASFF하고 최선의 노력을 기반으로 조사 결과를 강화합니다.

Security Hub로 AWS Config 보내는 조사 결과 유형

통합이 활성화된 후 는 모든 AWS Config 관리형 규칙 및 사용자 지정 규칙에 대한 평가를 Security Hub로 AWS Config 보냅니다. Security Hub가 활성화된 후 수행된 평가만 전송됩니다. 예를 들어 AWS Config 규칙 평가에서 실패한 리소스가 5개 있다고 가정해 보겠습니다. 그런 다음 Security Hub를 활성화하면 규칙에 여섯 번째 실패한 리소스가 표시되고 는 여섯 번째 리소스 평가만 Security Hub로 AWS Config 보냅니다.

Security Hub 컨트롤에서 검사를 실행하는 데 사용되는 규칙과 같은 서비스 연결 AWS Config 규칙 의 평가는 제외됩니다.

Security Hub로 AWS Config 조사 결과 전송

통합이 활성화되면 Security Hub는 에서 결과를 수신하는 데 필요한 권한을 자동으로 할당합니다 AWS Config. Security Hub는 이 통합을 활성화하고 Amazon 를 AWS Config 통해 에서 결과를 가져올 수 있는 안전한 방법을 제공하는 service-to-service 수준 권한을 사용합니다 EventBridge.

조사 결과 전송 지연 시간

가 새 결과를 AWS Config 생성하면 일반적으로 5분 이내에 Security Hub에서 결과를 볼 수 있습니다.

Security Hub를 사용할 수 없을 때 다시 시도

AWS Config 는 를 통해 결과를 Security Hub에 최선의 노력을 다해 전송합니다 EventBridge. 이벤트가 Security Hub로 성공적으로 전송되지 않으면 는 EventBridge 최대 24시간 또는 185회 중 먼저 도래하는 시간 동안 전송을 재시도합니다.

Security Hub에서 기존 AWS Config 조사 결과 업데이트

가 결과를 Security Hub에 AWS Config 전송한 후 동일한 결과에 대한 업데이트를 Security Hub에 전송하여 결과 활동에 대한 추가 관찰 내용을 반영할 수 있습니다. 업데이트는 ComplianceChangeNotification 이벤트에 대해서만 전송됩니다. 규정 준수 변경 사항이 발생하지 않으면 업데이트가 Security Hub로 전송되지 않습니다. Security Hub는 조사 결과를 가장 최근 업데이트 후 90일 또는 업데이트가 없는 경우 생성일 이후 90일에 삭제됩니다.

Security Hub는 연결된 리소스를 삭제 AWS Config 하더라도 에서 전송된 조사 결과를 보관하지 않습니다.

AWS Config 조사 결과가 있는 리전

AWS Config 조사 결과는 리전별로 발생합니다. 는 조사 결과가 발생한 동일한 리전 또는 리전의 Security Hub로 조사 결과를 AWS Config 보냅니다.

AWS Config 조사 결과를 보려면 Security Hub 탐색 창에서 조사 결과를 선택합니다. 조사 결과를 필터링하여 AWS Config 조사 결과만 표시하려면 검색 도구 모음 드롭다운에서 제품 이름을 선택합니다. 구성을 입력하고 적용을 선택합니다.

Security Hub에서 AWS Config 결과 이름 해석

Security Hub는 AWS Config 규칙 평가를 를 따르는 조사 결과로 변환합니다AWS 보안 결과 형식(ASFF). AWS Config 규칙 평가는 와 다른 이벤트 패턴을 사용합니다ASFF. 다음 표는 AWS Config 규칙 평가 필드를 Security Hub에 표시된 ASFF 대로 해당 필드와 매핑합니다.

심각도 레이블 해석

AWS Config 규칙 평가의 모든 결과에는 MEDIUM의 기본 심각도 레이블이 있습니다ASFF. BatchUpdateFindings API 작업으로 조사 결과의 심각도 레이블을 업데이트할 수 있습니다.

의 일반적인 결과 AWS Config

Security Hub는 AWS Config 규칙 평가를 를 따르는 조사 결과로 변환합니다ASFF. 다음은 AWS Config 에서 얻은 일반적인 결과의 예입니다ASFF.

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

Security Hub를 활성화하면 이 통합이 자동으로 활성화됩니다. AWS Config 즉시 Security Hub로 조사 결과를 보내기 시작합니다.

Security Hub로 조사 결과 전송을 중지하려면 Security Hub 콘솔 또는 Security Hub 를 사용할 수 있습니다API.

조사 결과의 흐름을 중지하는 방법에 대한 지침은 섹션을 참조하세요통합에서 조사 결과의 흐름 활성화.

Security Hub의 경우 보안 문제를 조사 결과와 같이 추적합니다. 일부 조사 결과는 다른 AWS 서비스 또는 타사 파트너가 감지한 문제에서 비롯됩니다. Security Hub에는 보안 문제를 감지하고 조사 결과를 생성하는 데 사용하는 규칙 집합도 있습니다.

Security Hub는 이러한 모든 출처를 총망라하여 조사 결과를 관리할 도구를 제공합니다. 사용자는 조사 결과 목록을 조회하고 필터링할 수 있으며 주어진 조사 결과의 세부 정보를 조회할 수도 있습니다. Security Hub에서 조사 결과 세부 정보 및 조사 결과 기록 검토 섹션을 참조하십시오. 또한 주어진 결과에 대한 조사 상태를 추적할 수도 있습니다. Security Hub 조사 결과의 워크플로 상태 설정을 참조하세요.

Security Hub의 모든 조사 결과는 라는 표준 JSON 형식을 사용합니다AWS 보안 결과 형식(ASFF). ASFF 에는 문제의 소스, 영향을 받는 리소스 및 조사 결과의 현재 상태에 대한 세부 정보가 포함되어 있습니다.

AWS Health 는 결과를 Security Hub로 보내는 AWS 서비스 중 하나입니다.

Security Hub로 AWS Health 보내는 조사 결과 유형

통합이 활성화된 후 는 나열된 사양 중 하나 이상을 충족하는 조사 결과를 Security Hub로 AWS Health 보냅니다. Security Hub는 의 조사 결과를 수집합니다AWS 보안 결과 형식(ASFF).

Security Hub로 AWS Health 조사 결과 전송

에서 결과를 수락하도록 선택하면 AWS Health Security Hub는 에서 결과를 수신하는 데 필요한 권한을 자동으로 할당합니다 AWS Health. Security Hub는 service-to-service 이러한 통합을 활성화하고 EventBridge 사용자를 대신하여 Amazon을 AWS Health 통해 결과를 가져올 수 있는 안전하고 쉬운 방법을 제공하는 수준 권한을 사용합니다. 결과 수락을 선택하면 Security Hub가 의 결과를 사용할 수 있는 권한을 부여합니다 AWS Health.

조사 결과 전송 지연 시간

가 새 결과를 AWS Health 생성하면 일반적으로 5분 이내에 Security Hub로 전송됩니다.

Security Hub를 사용할 수 없을 때 다시 시도

AWS Health 는 를 통해 결과를 Security Hub에 최선의 노력을 다해 전송합니다 EventBridge. 이벤트가 Security Hub로 성공적으로 전달되지 않으면 EventBridge는 24시간 동안 이벤트 전송을 재시도합니다.

Security Hub에서 기존 조사 결과 업데이트

가 결과를 Security Hub에 AWS Health 전송한 후 동일한 결과에 대한 업데이트를 전송하여 결과 활동에 대한 추가 관찰 내용을 Security Hub에 반영할 수 있습니다.

조사 결과가 존재하는 리전

글로벌 이벤트의 경우 us-east-1(AWS 파티션), cn-northwest-1(중국 파티션) 및 gov-us-west-1(GovCloud 파티션)의 Security Hub로 AWS Health 조사 결과를 보냅니다. 는 이벤트가 발생하는 동일한 리전 또는 리전의 Security Hub로 리전별 이벤트를 AWS Health 보냅니다.

Security Hub에서 AWS Health 조사 결과를 보려면 탐색 패널에서 조사 결과를 선택합니다. 조사 결과를 필터링하여 AWS Health 조사 결과만 표시하려면 제품 이름 필드에서 상태를 선택합니다.

Security Hub에서 AWS Health 결과 이름 해석

AWS Health 는 를 사용하여 조사 결과를 Security Hub로 보냅니다AWS 보안 결과 형식(ASFF). AWS Health 검색은 Security Hub ASFF 형식과 다른 이벤트 패턴을 사용합니다. 아래 표에는 Security Hub에 나타나는 것과 동일한 ASFF 결과가 있는 모든 AWS Health 결과 필드가 자세히 나와 있습니다.

심각도 레이블 해석

ASFF 조사 결과의 심각도 레이블은 다음 로직을 사용하여 결정됩니다.

의 일반적인 결과 AWS Health

AWS Health 는 를 사용하여 결과를 Security Hub로 전송합니다AWS 보안 결과 형식(ASFF). 다음은 의 일반적인 조사 결과의 예입니다 AWS Health.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

Security Hub를 활성화하면 이 통합이 자동으로 활성화됩니다. AWS Health 즉시 가 결과를 Security Hub로 보내기 시작합니다.

Security Hub로 조사 결과 전송을 중지하려면 Security Hub 콘솔 또는 Security Hub 를 사용할 수 있습니다API.

조사 결과의 흐름을 중지하는 방법에 대한 지침은 섹션을 참조하세요통합에서 조사 결과의 흐름 활성화.