As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Atributos de nível superior ASFF obrigatórios

Os seguintes atributos de nível superior no Formato de AWS Descoberta de Segurança (ASFF) são obrigatórios para todas as descobertas no Security Hub. Para obter mais informações sobre esses atributos obrigatórios, consulte AwsSecurityFindingna AWS Security Hub APIReferência.

AwsAccountId

O Conta da AWS ID ao qual a descoberta se aplica.

Exemplo

"AwsAccountId": "111111111111"

CreatedAt

Indica quando o possível problema de segurança detectado por uma descoberta foi criado.

Exemplo

"CreatedAt": "2017-03-22T13:22:13.933Z"

Descrição

A descrição de uma descoberta. Esse campo pode ser um texto padronizado não específico ou detalhes específicos da instância da descoberta.

Para as descobertas de controle geradas pelo Security Hub, esse campo fornece uma descrição do controle.

Esse campo não faz referência a um padrão se você ativar as descobertas de controle consolidadas.

Exemplo

"Description": "This AWS control checks whether AWS Config is enabled in the current account and Region."

GeneratorId

O identificador do componente específico da solução (uma unidade discreta de lógica) que gerou uma descoberta.

Para as descobertas de controle que o Security Hub gera, esse campo não faz referência a um padrão se você ativar as constatações de controle consolidadas.

Exemplo

"GeneratorId": "security-control/Config.1"

Id

O identificador específico do produto para uma descoberta. Para as descobertas de controle geradas pelo Security Hub, esse campo fornece o Amazon Resource Name (ARN) da descoberta.

Esse campo não faz referência a um padrão se você ativar as descobertas de controle consolidadas.

Exemplo

"Id": "arn:aws:securityhub:eu-central-1:123456789012:security-control/iam.9/finding/ab6d6a26-a156-48f0-9403-115983e5a956

"

ProductArn

O Amazon Resource Name (ARN) gerado pelo Security Hub que identifica de forma exclusiva um produto de descoberta de terceiros depois que o produto é registrado no Security Hub.

O formato desse campo é arn:partition:securityhub:region:account-id:product/company-id/product-id.

Exemplo

// Private ARN
    "ProductArn": "arn:aws:securityhub:us-east-1:111111111111:product/111111111111/default"

// Public ARN

    "ProductArn": "arn:aws:securityhub:us-west-2::product/aws/guardduty"
    "ProductArn": "arn:aws:securityhub:us-west-2:222222222222:product/generico/secure-pro"

Recursos

O Resourcesobjeto fornece um conjunto de tipos de dados de recursos que descrevem os AWS recursos aos quais a descoberta se refere.

Exemplo

"Resources": [
  {
    "ApplicationArn": "arn:aws:resource-groups:us-west-2:123456789012:group/SampleApp/1234567890abcdef0",
    "ApplicationName": "SampleApp",
    "DataClassification": {
    "DetailedResultsLocation": "Path_to_Folder_Or_File",
    "Result": {
        "MimeType": "text/plain",
        "SizeClassified": 2966026,
        "AdditionalOccurrences": false,
        "Status": {
            "Code": "COMPLETE",
            "Reason": "Unsupportedfield"
        },
       "SensitiveData": [
            {
                "Category": "PERSONAL_INFORMATION",
                "Detections": [
                    {
                        "Count": 34,
                        "Type": "GE_PERSONAL_ID",
                        "Occurrences": {
                            "LineRanges": [
                                {
                                    "Start": 1,
                                    "End": 10,
                                    "StartColumn": 20
                                }
                            ],
                            "Pages": [],
                            "Records": [],
                            "Cells": []
                        }
                    },
                    {
                        "Count": 59,
                        "Type": "EMAIL_ADDRESS",
                        "Occurrences": {
                            "Pages": [
                                {
                                    "PageNumber": 1,
                                    "OffsetRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                     },
                                    "LineRange": {
                                        "Start": 1,
                                        "End": 100,
                                        "StartColumn": 10
                                    }
                                }
                            ]
                        }
                    },
                    {
                        "Count": 2229,
                        "Type": "URL",
                        "Occurrences": {
                           "LineRanges": [
                               {
                                   "Start": 1,
                                   "End": 13
                               }
                           ]
                       }
                   },
                   {
                       "Count": 13826,
                       "Type": "NameDetection",
                       "Occurrences": {
                            "Records": [
                                {
                                    "RecordIndex": 1,
                                    "JsonPath": "$.ssn.value"
                                }
                            ]
                        }
                   },
                   {
                       "Count": 32,
                       "Type": "AddressDetection"
                   }
               ],
               "TotalCount": 32
           }
        ],
        "CustomDataIdentifiers": {
            "Detections": [
                 {
                     "Arn": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Name": "1712be25e7c7f53c731fe464f1c869b8", 
                     "Count": 2,
                 }
            ],
            "TotalCount": 2
        }
    }
},
	"Type": "AwsEc2Instance",
	"Id": "arn:aws:ec2:us-west-2:123456789012:instance/i-abcdef01234567890",
	"Partition": "aws",
	"Region": "us-west-2",
	"ResourceRole": "Target",
	"Tags": {
		"billingCode": "Lotus-1-2-3",
		"needsPatching": true
	},
	"Details": {
		"IamInstanceProfileArn": "arn:aws:iam::123456789012:role/IamInstanceProfileArn",
		"ImageId": "ami-79fd7eee",
		"IpV4Addresses": ["1.1.1.1"],
		"IpV6Addresses": ["2001:db8:1234:1a2b::123"],
		"KeyName": "testkey",
		"LaunchedAt": "2018-09-29T01:25:54Z",
		"MetadataOptions": {
			"HttpEndpoint": "enabled",
			"HttpProtocolIpv6": "enabled",
			"HttpPutResponseHopLimit": 1,
			"HttpTokens": "optional",
			"InstanceMetadataTags": "disabled"
		}
	},
		"NetworkInterfaces": [
		{
			"NetworkInterfaceId": "eni-e5aa89a3"
		}
		],
		"SubnetId": "PublicSubnet",
		"Type": "i3.xlarge",
		"VirtualizationType": "hvm",
		"VpcId": "TestVPCIpv6"
	}

]

SchemaVersion

A versão do esquema para a qual uma descoberta está formatada. O valor desse campo deve ser uma das versões publicadas oficialmente identificadas pela AWS. Na versão atual, a versão do esquema AWS Security Finding Format é2018-10-08.

Exemplo

"SchemaVersion": "2018-10-08"

Gravidade

Define a importância de uma descoberta. Para obter detalhes sobre esse objeto, consulte Severityna AWS Security Hub APIReferência.

Severity é ao mesmo tempo um objeto de nível superior em uma descoberta e está aninhado sob o objeto FindingProviderFields.

O valor do Severity objeto de nível superior para uma descoberta só deve ser atualizado pelo BatchUpdateFindingsAPI.

Para fornecer informações de severidade, os provedores de busca devem atualizar o Severity objeto abaixo FindingProviderFields ao fazer uma BatchImportFindingsAPIsolicitação.
 Se uma BatchImportFindings solicitação para uma nova descoberta fornecer apenas Label ou fornecer apenasNormalized, o Security Hub preencherá automaticamente o valor do outro campo. Os Original campos Product e também podem ser preenchidos.

Se o Finding.Severity objeto de nível superior estiver presente, mas não Finding.FindingProviderFields estiver presente, o Security Hub cria o FindingProviderFields.Severity objeto e copia o todo Finding.Severity object nele. Isso garante que os detalhes originais fornecidos pelo provedor sejam mantidos na FindingProviderFields.Severity estrutura, mesmo que o objeto de nível superior Severity seja sobrescrito.

A gravidade da descoberta não considera a criticidade dos ativos envolvidos ou do recurso subjacente. A criticidade é definida como o nível de importância dos recursos associados à descoberta. Por exemplo, um recurso associado a um aplicativo de missão crítica tem maior criticidade do que um recurso associado a testes de não produção. Para capturar informações sobre criticidade do recurso, use o campo Criticality.

Recomendamos usar a seguinte orientação ao traduzir as pontuações de severidade nativas dos resultados para o valor de Severity.Label no. ASFF

Exemplo

"Severity": {
    "Label": "CRITICAL",
    "Normalized": 90,
    "Original": "CRITICAL"
}

Cargo

O título de uma descoberta. Esse campo pode conter texto padronizado não específico ou detalhes específicos dessa instância da descoberta.

Para descobertas de controle, esse campo fornece o título do controle.

Esse campo não faz referência a um padrão se você ativar as descobertas de controle consolidadas.

Exemplo

"Title": "AWS Config should be enabled"

Tipos

Um ou mais tipos de descobertas no formato de namespace/category/classifier que classificam uma descoberta. Esse campo não faz referência a um padrão se você ativar as descobertas de controle consolidadas.

Types só deve ser atualizado usando BatchUpdateFindings.

Os provedores de descobertas que desejam fornecer um valor para Types devem usar o atributo Types sob FindingProviderFields.

Na lista a seguir, os marcadores de nível superior são namespaces, os marcadores de segundo nível são categorias e os marcadores de terceiro nível são classificadores. Recomendamos que os provedores de descobertas usem namespaces definidos para ajudar a classificar e agrupar as descobertas. As categorias e os classificadores definidos também podem ser usados, mas não são obrigatórios. Somente o namespace Verificações de software e configuração tem classificadores definidos.

Você pode definir um caminho parcial paranamespace/category/classifier. Por exemplo, todos os tipos de descoberta a seguir são válidos:

As categorias de táticas, técnicas e procedimentos (TTPs) na lista a seguir se alinham ao MITREATT&CK MatrixTM. O namespace Unusual Behaviors reflete um comportamento geral incomum, como anomalias estatísticas gerais, e não está alinhado com um específico. TTP No entanto, você pode classificar uma descoberta com comportamentos incomuns e tipos de TTPs descoberta.

Lista de namespaces, categorias e classificadores:

Exemplo

"Types": [
    "Software and Configuration Checks/Vulnerabilities/CVE"
				]

UpdatedAt

Indica quando o provedor de descoberta atualizou o registro de descoberta pela última vez.

Esse timestamp reflete a hora em que o registro de descoberta foi atualizado pela última vez ou a mais recente. Consequentemente, ele pode ser diferente do timestamp LastObservedAt, que reflete quando o evento ou vulnerabilidade foi observado pela última vez ou foi observado mais recentemente.

Ao atualizar o registro de descoberta, é necessário atualizar esse timestamp para o timestamp atual. Após a criação de um registro de descoberta, os timestamps CreatedAt e UpdatedAt devem ser o mesmo. Após uma atualização do registro de localização, o valor desse campo deve ser mais recente do que todos os valores anteriores que ele continha.

Observe que UpdatedAt não pode ser atualizado usando a BatchUpdateFindingsAPIoperação. Você só pode atualizá-lo usando BatchImportFindings.

Exemplo

"UpdatedAt": "2017-04-22T13:22:13.933Z"