Die vorliegende Übersetzung wurde maschinell erstellt. Im Falle eines Konflikts oder eines Widerspruchs zwischen dieser übersetzten Fassung und der englischen Fassung (einschließlich infolge von Verzögerungen bei der Übersetzung) ist die englische Fassung maßgeblich.

Automatisierungsregeln in Security Hub

Mit Security Hub können Sie Aufgaben wie das Aktualisieren von Funddetails, das Aktualisieren der Wichtigkeit Ihrer Ressourcen und das Erstellen von Tickets für Integrationen von Drittanbietern automatisieren.

Automatisierungsregeln und AWS-Regionen

Automatisierungsregeln können in einem erstellt AWS-Region und dann in allen konfigurierten Regeln angewendet werden AWS-Regionen. Wenn Sie die Regionsaggregation verwenden, können Sie Regeln nur in der Heimatregion erstellen. Wenn Sie Regeln in der Heimatregion erstellen, wird jede Regel, die Sie definieren, auf alle verknüpften Regionen angewendet, es sei denn, Ihre Regelkriterien schließen eine bestimmte verknüpfte Region aus. Sie müssen eine Automatisierungsregel für jede Region erstellen, die keine verknüpfte Region ist.

Arten von Automatisierungsregeln

Automatisierungsregeln in Security Hub unterstützen zwei Regeltypen: Suchregeln und Ressourcenregeln. Eine Suchregel gleicht Ergebnisse ab und aktualisiert die Funddetails oder erstellt ein Ticket für eine Drittanbieter-Integration. Eine Ressourcenregel ordnet Ressourcen zu und legt die Wichtigkeit dieser Ressourcen fest. Eine einzelne Regel verwendet entweder Suchkriterien oder Ressourcenkriterien, aber nicht beide. Eine Ressourcenregel verknüpft Ressourcenkriterien mit der Ressourcenaktion, um die Priorität festzulegen, und sie kann keine Ergebnisdetails aktualisieren oder ein Ticket erstellen.

Suchregeln und Ressourcenregeln haben dasselbe Kontingent. Sie können jeweils maximal 100 Automatisierungsregeln pro Konto erstellen AWS-Region, sowohl für Such- als auch für Ressourcenregeln.

Nach Regelaktionen und Kriterien suchen

Automatisierungsregeln in Security Hub verwenden Kriterien, um in Security Hub Hub-Ergebnissen auf OCSF-Attribute zu verweisen. Beispielsweise stimmen die für den Criteria Parameter in unterstützten Filter mit den Filtern CreateAutomationRuleV2überein, die für den Filters Parameter in GetFindingsV2 unterstützt werden. Das bedeutet, dass Filter, die in Automatisierungsregeln verwendet werden, verwendet werden können, um Ergebnisse zu erhalten. Security Hub unterstützt die folgenden OCSF-Felder für Automatisierungsregelkriterien.

Bei Kriterien, die als Zeichenkettenfelder gekennzeichnet sind, wirkt sich die Verwendung verschiedener Filteroperatoren für dasselbe Feld auf die Bewertungslogik aus. Weitere Informationen finden Sie StringFilterin der Security Hub Hub-API-Referenz.

Jedes Kriterium unterstützt eine maximale Anzahl von Werten, anhand derer übereinstimmende Ergebnisse gefiltert werden können. Die Grenzen der einzelnen Kriterien finden Sie OcsfFindingFiltersin der Security Hub Hub-API-Referenz

OCSF-Felder, die aktualisiert werden können

Im Folgenden sind die OCSF-Felder aufgeführt, die mithilfe von Automatisierungsregeln aktualisiert werden können.

Aktionen und Kriterien für Ressourcenregeln

Ressourcenkriterien verweisen auf Ressourcenattribute. Die für Ressourcenkriterien unterstützten Filter sind eine Teilmenge der Filter, die für den GetResourcesV2-Vorgang unterstützt werden. Sie können Filter mit OR Operatoren AND und kombinieren und sie bis zu drei Ebenen mit maximal 100 Filtern pro Regel verschachteln.

Security Hub unterstützt die folgenden Ressourcenfelder für Ressourcenkriterien.

Security Hub unterstützt keine Zahlenfilter. Der CONTAINS_WORD Operator für Ressourcenkriterien wird nicht unterstützt. Die vollständige Liste der Ressourcenfilterfelder und ihrer zulässigen Werte finden Sie unter ResourcesFiltersund GetResourcesV2 in der Security Hub API-Referenz.

Ressourcenfelder, die aktualisiert werden können

Eine Ressourcenregel aktualisiert die Wichtigkeit von Ressourcen, die Ihren Kriterien entsprechen. Sie können die Priorität auf einen der folgenden Werte festlegen, die vom höchsten zum niedrigsten Wert aufgelistet sind.

Ressourcenregeln gelten nicht für selbst gehostete KI-Ressourcen. Diese Ressourcentypen sind von der Priorität der Automatisierungsregeln ausgenommen, und sie erhalten weiterhin eine abgeleitete Priorität.

Wie Automatisierungsregeln die Ergebnisse bewerten

Eine Automatisierungsregel wertet neue und aktualisierte Ergebnisse aus, die Security Hub generiert oder aufnimmt, nachdem Sie die Regel erstellt haben.

Automatisierungsregeln bewerten ursprüngliche, vom Anbieter bereitgestellte Ergebnisse. Durch die Integration mit Security Hub können Anbieter neue Erkenntnisse liefern und bestehende Erkenntnisse aktualisieren. Regeln werden nicht ausgelöst, wenn Sie Suchfelder nach der Regelerstellung im Rahmen des BatchUpdateFindingsV2 Vorgangs aktualisieren. Wenn Sie eine Automatisierungsregel erstellen und eine BatchUpdateFindingsV2 Aktualisierung vornehmen, die sich beide auf dasselbe Ergebnisfeld auswirken, legt die letzte Aktualisierung den Wert für dieses Feld fest. Nehmen wir das folgende Beispiel:

Sie verwendenBatchUpdateFindingsV2, um das Status Feld eines Befundes von bis New zu zu aktualisierenIn Process. Wenn Sie aufrufenGetFindingsV2, hat das Status Feld jetzt den WertIn Process. Sie erstellen eine Automatisierungsregel, die das Status Feld des Ergebnisses von New zu ändert Suppressed (denken Sie daran, dass Regeln Aktualisierungen ignorieren, die mit vorgenommen wurdenBatchUpdateFindingsV2). Der Suchprovider aktualisiert den Befund und ändert das Status Feld inNew. Wenn Sie aufrufenGetFindingsV2, hat das Status Feld jetzt den Wert, Suppressed weil die Automatisierungsregel angewendet wurde und die Regel die letzte Aktion war, die auf das Ergebnis angewendet wurde.

Wenn Sie eine Regel auf der Security Hub Hub-Konsole erstellen oder bearbeiten, zeigt die Konsole eine Vorschau der Ergebnisse an, die den Regelkriterien entsprechen. Während Automatisierungsregeln die ursprünglichen Ergebnisse auswerten, die vom Anbieter der Ergebnisse gesendet wurden, werden in der Konsolenvorschau die Ergebnisse in ihrem endgültigen Zustand wiedergegeben, so wie sie als Reaktion auf den GetFindingsV2 API-Vorgang angezeigt würden (d. h. nachdem Regelaktionen oder andere Aktualisierungen auf das Ergebnis angewendet wurden).

Wie sind die Automatisierungsregeln angeordnet

Jeder Automatisierungsregel wird eine Regelreihenfolge zugewiesen. Dies bestimmt die Reihenfolge, in der Security Hub Ihre Automatisierungsregeln anwendet, und ist wichtig, wenn sich mehrere Regeln auf dasselbe Ergebnis oder Findungsfeld beziehen.

Wenn sich mehrere Regelaktionen auf dasselbe Befund- oder Findungsfeld beziehen, gilt die Regel mit dem höchsten numerischen Wert für die Reihenfolge der Regeln zuletzt und hat die endgültige Wirkung.

Die Reihenfolge der Regeln bestimmt auch die endgültige Kritikalität einer Ressource. Wenn mehrere Ressourcenregeln derselben Ressource entsprechen, bestimmt die Regel, die zuletzt gilt, die Priorität der Ressource.

Wenn Sie eine Regel in der Security Hub-Konsole erstellen, weist Security Hub automatisch die Regelreihenfolge auf der Grundlage der Reihenfolge der Regelerstellung zu. Die erste Regel, die Sie erstellen, hat die Regelreihenfolge 1. Wenn mehr als eine Regel vorhanden ist, hat jede anschließend erstellte Regel den nächsthöheren verfügbaren numerischen Wert für die Regelreihenfolge.

Wenn Sie eine Regel über CreateAutomationRuleV2API oder erstellen AWS CLI, wendet Security Hub RuleOrder zuerst die Regel mit dem niedrigsten numerischen Wert an. Anschließend werden nachfolgende Regeln in aufsteigender Reihenfolge angewendet. Wenn mehrere Ergebnisse identisch sindRuleOrder, wendet Security Hub zuerst eine Regel mit einem früheren Wert für das UpdatedAt Feld an (d. h. die Regel, die zuletzt bearbeitet wurde, gilt zuletzt).

Sie können die Reihenfolge der Regeln jederzeit ändern.

Beispiel für die Reihenfolge der Regeln:

Regel A (Regelreihenfolge ist1):

Regel B (Reihenfolge der Regeln ist2):

Erstens gelten die Aktionen nach Regel A für Security Hub Hub-Ergebnisse, die den Kriterien von Regel A entsprechen. Anschließend gelten die Aktionen nach Regel B für Security Hub Hub-Ergebnisse mit der angegebenen Konto-ID. Da Regel B in diesem Beispiel zuletzt gilt, lautet der Endwert von Severity in findings from the specified account IDINFORMATIONAL. Basierend auf der Regel A-Aktion ist der Endwert von Confidence in übereinstimmenden Ergebnissen95.

Third-party Integrationen

Sie können Automatisierungsregeln verwenden, um Tickets für Integrationen mit Jira Cloud und zu erstellen. ServiceNow ITSM Weitere Informationen finden Sie unter Regel für eine Drittanbieter-Integration erstellen.

Szenarien, in denen Automatisierungsregeln nicht funktionieren

Im Folgenden sind Szenarien aufgeführt, in denen Automatisierungsregeln nicht funktionieren.

In diesen Szenarien kann ein Mitglied einer Organisation Automatisierungsregeln mit Listen-, Abruf- und Löschvorgängen in den AWS CLI APIs oder verwalten.

Wenn eine nicht verknüpfte Region zu einer verknüpften Region gemacht wird, kann der delegierte Administrator oder das eigenständige Konto Ressourcen in einer verknüpften Region mit Auflisten-, Abruf- und Löschvorgängen verwalten.