Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.

Regole di automazione in Security Hub

Con Security Hub, puoi automatizzare attività come l'aggiornamento dei dettagli dei risultati, l'aggiornamento della criticità delle tue risorse e la creazione di ticket per integrazioni di terze parti.

Regole di automazione e Regioni AWS

Le regole di automazione possono essere create in un'unica Regione AWS soluzione e quindi applicate in tutte le configurazioni Regioni AWS. Quando si utilizza l'aggregazione delle regioni, è possibile creare regole solo nella regione di origine. Quando si creano regole nella regione d'origine, qualsiasi regola definita viene applicata a tutte le regioni collegate, a meno che i criteri della regola non escludano una regione collegata specifica. È necessario creare una regola di automazione per qualsiasi regione che non sia una regione collegata.

Tipi di regole di automazione

Le regole di automazione in Security Hub supportano due tipi di regole: regole di ricerca e regole di risorse. Una regola di ricerca abbina i risultati e aggiorna i dettagli della ricerca o crea un ticket per un'integrazione di terze parti. Una regola relativa alle risorse abbina le risorse e stabilisce la criticità di tali risorse. Una singola regola utilizza criteri di ricerca o criteri relativi alle risorse, ma non entrambi. Una regola relativa alle risorse associa i criteri delle risorse all'azione relativa alla risorsa per impostare la criticità e non può aggiornare i dettagli della ricerca o creare un ticket.

Le regole di ricerca e le regole delle risorse condividono la stessa quota. Puoi creare un massimo di 100 regole di automazione per account per account Regione AWS, sia per le regole di ricerca che per le regole delle risorse.

Individuazione delle azioni e dei criteri relativi alle regole

Le regole di automazione in Security Hub utilizzano criteri per fare riferimento agli attributi OCSF nei risultati di Security Hub. Ad esempio, i filtri supportati per il Criteria parametro in CreateAutomationRuleV2corrispondono ai filtri supportati per il Filters parametro in GetFindings V2. Ciò significa che i filtri utilizzati nelle regole di automazione possono essere utilizzati per ottenere risultati. Security Hub supporta i seguenti campi OCSF per i criteri delle regole di automazione.

Per i criteri etichettati come campi stringa, l'utilizzo di operatori di filtro diversi sullo stesso campo influisce sulla logica di valutazione. Per ulteriori informazioni, consulta il riferimento StringFilterall'API Security Hub.

Ogni criterio supporta un numero massimo di valori che possono essere utilizzati per filtrare i risultati corrispondenti. Per i limiti di ogni criterio, vedere il riferimento OcsfFindingFiltersall'API Security Hub

Campi OCSF che possono essere aggiornati

Di seguito sono riportati i campi OCSF che possono essere aggiornati utilizzando le regole di automazione.

Azioni e criteri relativi alle regole delle risorse

I criteri delle risorse fanno riferimento agli attributi delle risorse. I filtri supportati per i criteri delle risorse sono un sottoinsieme dei filtri supportati per l'operazione GetResourcesV2. È possibile combinare filtri con OR operatori AND e annidarli fino a tre livelli di profondità, con un massimo di 100 filtri per regola.

Security Hub supporta i seguenti campi di risorse per i criteri delle risorse.

Security Hub non supporta i filtri numerici. Non supporta l'CONTAINS_WORDoperatore per i criteri relativi alle risorse. Per l'elenco completo dei campi di filtro delle risorse e dei relativi valori consentiti, vedere ResourcesFilterse GetResourcesV2 nel riferimento all'API Security Hub.

Campi di risorse che possono essere aggiornati

Una regola relativa alle risorse aggiorna la criticità delle risorse che corrispondono ai criteri specificati. È possibile impostare la criticità su uno dei seguenti valori, elencati dal più alto al più basso.

Le regole relative alle risorse non si applicano alle risorse AI ospitate autonomamente. Questi tipi di risorse sono esclusi dalla criticità delle regole di automazione e continuano a ricevere una criticità dedotta.

In che modo le regole di automazione valutano i risultati

Una regola di automazione valuta i risultati nuovi e aggiornati generati o acquisiti da Security Hub dopo la creazione della regola.

Le regole di automazione valutano i risultati originali forniti dal provider. I provider possono fornire nuovi risultati e aggiornare i risultati esistenti attraverso la loro integrazione con Security Hub. Le regole non vengono attivate quando si aggiornano i campi di ricerca dopo la creazione delle regole tramite l'BatchUpdateFindingsV2operazione. Se si crea una regola di automazione e si effettua un BatchUpdateFindingsV2 aggiornamento che influiscono entrambi sullo stesso campo di ricerca, l'ultimo aggiornamento imposta il valore per quel campo. Prendiamo l'esempio seguente:

Si usa BatchUpdateFindingsV2 per aggiornare il Status campo di un risultato da New aIn Process. Se chiamiGetFindingsV2, il Status campo ora ha un valore diIn Process. Crei una regola di automazione che modifica il Status campo del risultato da New a Suppressed (ricorda che le regole ignorano gli aggiornamenti effettuati conBatchUpdateFindingsV2). Il provider di ricerca aggiorna il risultato e modifica il Status campo inNew. Se si chiamaGetFindingsV2, il Status campo ora ha un valore pari a Suppressed perché è stata applicata la regola di automazione e la regola è stata l'ultima azione intrapresa sul risultato.

Quando si crea o si modifica una regola sulla console Security Hub, la console mostra un'anteprima dei risultati che corrispondono ai criteri della regola. Mentre le regole di automazione valutano i risultati originali inviati dal provider dei risultati, l'anteprima della console riflette i risultati nel loro stato finale così come verrebbero visualizzati in risposta all'operazione dell'GetFindingsV2API (ovvero, dopo l'applicazione delle azioni delle regole o di altri aggiornamenti al risultato).

Come vengono ordinate le regole di automazione

A ogni regola di automazione viene assegnato un ordine di regole. Ciò determina l'ordine in cui Security Hub applica le regole di automazione e diventa importante quando più regole si riferiscono allo stesso campo di ricerca o ricerca.

Quando più azioni delle regole si riferiscono allo stesso campo di ricerca o di ricerca, la regola con il valore numerico più alto per l'ordine delle regole si applica per ultima e ha l'effetto finale.

L'ordine delle regole determina anche la criticità finale di una risorsa. Quando più regole relative alle risorse corrispondono alla stessa risorsa, la regola applicata per ultima determina la criticità della risorsa.

Quando si crea una regola nella console di Security Hub, Security Hub assegna automaticamente l'ordine delle regole in base all'ordine di creazione delle regole. La prima regola creata avrà un ordine di regole pari a 1. Se esistono più regole, ogni regola creata successivamente avrà il valore numerico immediatamente più alto disponibile per l'ordine delle regole.

Quando crei una regola tramite CreateAutomationRuleV2API o AWS CLI, Security Hub applica per RuleOrder prima la regola con il valore numerico più basso. Quindi applica le regole successive in ordine crescente. Se più risultati sono ugualiRuleOrder, Security Hub applica prima una regola con un valore precedente per il UpdatedAt campo (ovvero, la regola che è stata modificata più di recente si applica per ultima).

È possibile modificare l'ordine delle regole in qualsiasi momento.

Esempio di ordine delle regole:

Regola A (l'ordine delle regole è1):

Regola B (l'ordine delle regole è2):

Innanzitutto, le azioni della Regola A si applicano ai risultati del Security Hub che soddisfano i criteri della Regola A. Quindi, le azioni della Regola B si applicano ai risultati del Security Hub con l'ID account specificato. In questo esempio, poiché la regola B si applica per ultima, il valore finale dei Severity risultati derivanti dall'ID account specificato èINFORMATIONAL. In base all'azione della Regola A, il valore finale dei Confidence risultati corrispondenti è95.

Third-party integrazioni

Puoi utilizzare le regole di automazione per creare ticket per le integrazioni con Jira Cloud e. ServiceNow ITSM Per ulteriori informazioni, consulta Creazione di una regola per un'integrazione di terze parti.

Scenari in cui le regole di automazione non funzionano

Di seguito sono riportati gli scenari in cui le regole di automazione non funzionano.

In questi scenari, un membro di un'organizzazione può gestire le regole di automazione con le operazioni di elenco, acquisizione ed eliminazione nelle API o. AWS CLI

Quando una regione non collegata diventa una regione collegata, l'amministratore delegato o l'account autonomo può gestire le risorse in una regione collegata con operazioni di elenco, acquisizione ed eliminazione.