Controles sugeridos para desativar no Security Hub - AWS Security Hub
Controles que usam recursos globaisCloudTrail controles de registroCloudWatch controles de alarmes

As traduções são geradas por tradução automática. Em caso de conflito entre o conteúdo da tradução e da versão original em inglês, a versão em inglês prevalecerá.

Controles sugeridos para desativar no Security Hub

Recomendamos desativar alguns AWS Security Hub controles para reduzir o ruído de localização e limitar os custos.

Controles que usam recursos globais

Alguns serviços da AWS oferecem suporte a recursos globais, o que significa que você pode acessar o recurso de qualquer um Região da AWS. Para economizar no custo de AWS Config, você pode desativar o registro de recursos globais em todas as regiões, exceto em uma. Depois de fazer isso, contudo, o Security Huib ainda executará verificações de segurança em todas as regiões em que os controles estejam habilitados e fará a cobrança com base no número de verificações por conta por região. Assim, para reduzir o ruído de localização e economizar no custo do Security Hub, você também deve desativar os controles que envolvem recursos globais em todas as regiões, exceto na região que registra os recursos globais.

Se um controle envolver recursos globais, mas estiver disponível em apenas uma região, desativá-lo nessa região impedirá que você obtenha quaisquer descobertas sobre o recurso subjacente. Nesse caso, recomendamos manter o controle ativado. Ao usar a agregação entre regiões, a região na qual o controle está disponível deve ser a região de agregação ou uma das regiões vinculadas. Os controles a seguir envolvem recursos globais, mas estão disponíveis somente em uma única região:

  • Todos os CloudFront controles — Disponível somente no Leste dos EUA (Norte da Virgínia)

  • GlobalAccelerator.1 — Disponível somente no Oeste dos EUA (Oregon)

  • Route53.2 — Disponível somente no Leste dos EUA (Norte da Virgínia)

  • WAF.1, WAF .6, WAF .7 e WAF .8 — Disponível somente no Leste dos EUA (Norte da Virgínia)

nota

Se você usar a configuração central, o Security Hub desativará automaticamente os controles que envolvem recursos globais em todas as regiões, exceto na região de origem. Outros controles que você escolhe ativar por meio de uma política de configuração são habilitados em todas as regiões em que estão disponíveis. Para limitar as descobertas desses controles a apenas uma região, você pode atualizar as configurações do AWS Config gravador e desativar a gravação global de recursos em todas as regiões, exceto na região de origem. Ao usar a configuração central, você não tem cobertura para um controle que não está disponível na região de origem ou em qualquer uma das regiões vinculadas. Para obter mais informações sobre a configuração central, consulte Entendendo a configuração central no Security Hub.

Para controles com um tipo de programação periódico, é necessário desativá-los no Security Hub para evitar o faturamento. Definir o AWS Config parâmetro como includeGlobalResourceTypes false não afeta os controles periódicos do Security Hub.

Veja a seguir uma lista dos controles do Security Hub que usam recursos globais:

CloudTrail controles de registro

Esse controle trata do uso de AWS Key Management Service (AWS KMS) para criptografar registros de AWS CloudTrail trilhas. Se você registrar essas trilhas em uma conta de registro centralizada, só precisará executar esse controle na conta e na região em que o registro centralizado ocorre.

nota

Se você usar a configuração central, o status de habilitação de um controle será alinhado entre a região inicial e as regiões vinculadas. Você não pode desabilitar um controle em algumas regiões e habilitá-lo em outras. Nesse caso, suprima as descobertas dos controles a seguir para reduzir o ruído de localização.

CloudWatch controles de alarmes

Se você preferir usar a Amazon GuardDuty para detecção de anomalias em vez dos CloudWatch alarmes da Amazon, você pode desativar esses controles, que se CloudWatch concentram nos alarmes.