Le traduzioni sono generate tramite traduzione automatica. In caso di conflitto tra il contenuto di una traduzione e la versione originale in Inglese, quest'ultima prevarrà.
# Regole di automazione in Security Hub
Con Security Hub, puoi automatizzare attività come l'aggiornamento dei dettagli dei risultati, l'aggiornamento della criticità delle tue risorse e la creazione di ticket per integrazioni di terze parti.
## Regole di automazione e Regioni AWS
Le regole di automazione possono essere create in un'unica Regione AWS soluzione e quindi applicate in tutte le configurazioni Regioni AWS. Quando si utilizza l'aggregazione delle regioni, è possibile creare regole solo nella regione di origine. Quando si creano regole nella regione d'origine, qualsiasi regola definita viene applicata a tutte le regioni collegate, a meno che i criteri della regola non escludano una regione collegata specifica. È necessario creare una regola di automazione per qualsiasi regione che non sia una regione collegata.
## Tipi di regole di automazione
Le regole di automazione in Security Hub supportano due tipi di regole: regole di ricerca e regole di risorse. Una regola di ricerca abbina i risultati e aggiorna i dettagli della ricerca o crea un ticket per un'integrazione di terze parti. Una regola relativa alle risorse abbina le risorse e stabilisce la criticità di tali risorse. Una singola regola utilizza criteri di ricerca o criteri relativi alle risorse, ma non entrambi. Una regola relativa alle risorse associa i criteri delle risorse all'azione relativa alla risorsa per impostare la criticità e non può aggiornare i dettagli della ricerca o creare un ticket.
Le regole di ricerca e le regole delle risorse condividono la stessa quota. Puoi creare un massimo di 100 regole di automazione per account per account Regione AWS, sia per le regole di ricerca che per le regole delle risorse.
## Individuazione delle azioni e dei criteri relativi alle regole
Le regole di automazione in Security Hub utilizzano criteri per fare riferimento agli attributi OCSF nei risultati di Security Hub. [Ad esempio, i filtri supportati per il `Criteria` parametro in [CreateAutomationRuleV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_CreateAutomationRuleV2.html)corrispondono ai filtri supportati per il `Filters` parametro in GetFindings V2.](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetFindingsV2.html) Ciò significa che i filtri utilizzati nelle regole di automazione possono essere utilizzati per ottenere risultati. Security Hub supporta i seguenti campi OCSF per i criteri delle regole di automazione.
| Campo OCSF | Valore del filtro della console | Operatori di filtro | Tipo di campo |
| --- | --- | --- | --- |
| activity\_id | Activity ID | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| activity\_name | Provider status | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| class\_name | Finding class name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| cloud.account.name | Finding account name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| cloud.account.uid | Account ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| cloud.provider | Cloud provider | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| cloud.region | Region | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.assessments.category | Assessment category | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.assessments.meets\_criteria | Compliance assessment meets criteria | True, False | Boolean |
| compliance.assessments.name | Assessment name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.control | Security control ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.control\_parameters | Control parameter name | EQUALS | Map |
| compliance.standards | Applicable standards | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.status | Compliance status | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| compliance.status\_id | Compliance status ID | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| confidence\_score | Confidence | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| finding\_info.created\_time\_dt | Created at | Start, End, DateRange | Date (formatted as 2022-12-01T21:47:39.269Z) |
| finding\_info.desc | Finding description | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.first\_seen\_time\_dt | First observed at | Start, End, DateRange | Date (formatted as 2022-12-01T21:47:39.269Z) |
| finding\_info.last\_seen\_time\_dt | Last observed at | Start, End, DateRange | Date (formatted as 2022-12-01T21:47:39.269Z) |
| finding\_info.modified\_time\_dt | Updated at | Start, End, DateRange | Date (formatted as 2022-12-01T21:47:39.269Z) |
| finding\_info.related\_events.product.uid | Related findings product ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.related\_events.title | Related findings title | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.related\_events.traits.category | Traits category | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.related\_events.uid | Related findings ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.related\_events\_count | Related findings count | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| finding\_info.src\_url | Source URL | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.tags | Finding info tags | EQUALS | Map |
| finding\_info.title | Finding title | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.types | Finding type | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| finding\_info.uid | Provider finding ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| metadata.product.feature.uid | Generator ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| metadata.product.name | Product name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| metadata.product.uid | Product ARN | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| metadata.product.vendor\_name | Company name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| remediation.desc | Recommendation text | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| remediation.references | Recommendation URL | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.cloud\_partition | Resource partition | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.modified\_time\_dt | Resource last modified time | Start, End, DateRange | Date (formatted as 2022-12-01T21:47:39.269Z) |
| resources.name | Resource name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.owner.account.name | Account name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.owner.account.uid | Account | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.owner.org.uid | Organization | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.provider | Cloud provider | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.region | Resource region | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.tags | Resource tags | EQUALS | Map |
| resources.type | Resource type | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| resources.uid | Resource ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vendor\_attributes.severity | Provider severity | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vendor\_attributes.severity\_id | Provider severity ID | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| vulnerabilities.affected\_code.file.path | Affected code file path | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vulnerabilities.affected\_packages.name | Affected package name | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vulnerabilities.cve.cvss.base\_score | CVE CVSS base score | Eq (equal-to), Gte (greater-than-equal), Lte (less-than-equal) | Number |
| vulnerabilities.cve.epss.score | Epss score | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vulnerabilities.cve.uid | Vulnerability ID | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vulnerabilities.fix\_coverage | Software vulnerabilities coverage | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| vulnerabilities.is\_exploit\_available | Software vulnerabilities with exploit available | True, False | Boolean |
| vulnerabilities.is\_fix\_available | Software vulnerabilities with fix available | True, False | Boolean |
| vulnerabilities.related\_vulnerabilities | Related vulnerabilities | EQUALS, PREFIX, CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
Per i criteri etichettati come campi stringa, l'utilizzo di operatori di filtro diversi sullo stesso campo influisce sulla logica di valutazione. Per ulteriori informazioni, consulta il *riferimento [StringFilter](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_StringFilter.html)all'API Security Hub*.
Ogni criterio supporta un numero massimo di valori che possono essere utilizzati per filtrare i risultati corrispondenti. Per i limiti di ogni criterio, vedere il riferimento [OcsfFindingFilters](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_OcsfFindingFilters.html)all'API *Security Hub*
**Campi OCSF che possono essere aggiornati**
Di seguito sono riportati i campi OCSF che possono essere aggiornati utilizzando le regole di automazione.
+ `Comment`
+ `SeverityId`
+ `StatusId`
## Azioni e criteri relativi alle regole delle risorse
I criteri delle risorse fanno riferimento agli attributi delle risorse. I filtri supportati per i criteri delle risorse sono un sottoinsieme dei filtri supportati per l'operazione [GetResourcesV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetResourcesV2.html). È possibile combinare filtri con `OR` operatori `AND` e annidarli fino a tre livelli di profondità, con un massimo di 100 filtri per regola.
Security Hub supporta i seguenti campi di risorse per i criteri delle risorse.
| Campo delle risorse | Valore del filtro della console | Operatori di filtro | Tipo di campo |
| --- | --- | --- | --- |
| ResourceId | Resource ID | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceName | Resource name | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceType | Resource type | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceCategory | Resource category | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceSubCategory | Resource sub-category | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceProvider | Cloud provider | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceCloudPartition | Resource partition | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceRegion | Region | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceGuid | Resource GUID | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| AccountId | Finding account | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| AccountName | Account name | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| Region | Finding region | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceOwnerAccountId | Account | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceOwnerOrgId | Organization | EQUALS, PREFIX, CONTAINS, NOT\_CONTAINS, NOT\_EQUALS, PREFIX\_NOT\_EQUALS | String |
| ResourceCreationTime | Created at | Start, End, DateRange | Date |
| ResourceDetailCaptureTime | Resource detail capture time | Start, End, DateRange | Date |
| ResourceTags | Resource tags | EQUALS, NOT\_EQUALS, CONTAINS, NOT\_CONTAINS | Map |
Security Hub non supporta i filtri numerici. Non supporta l'`CONTAINS_WORD`operatore per i criteri relativi alle risorse. Per l'elenco completo dei campi di filtro delle risorse e dei relativi valori consentiti, vedere [ResourcesFilters](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_ResourcesFilters.html)e [GetResourcesV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_GetResourcesV2.html) nel *riferimento all'API Security Hub*.
**Campi di risorse che possono essere aggiornati**
Una regola relativa alle risorse aggiorna la criticità delle risorse che corrispondono ai criteri specificati. È possibile impostare la criticità su uno dei seguenti valori, elencati dal più alto al più basso.
+ `Very High`
+ `High`
+ `Medium`
+ `Low`
+ `Unknown`
Le regole relative alle risorse non si applicano alle risorse AI ospitate autonomamente. Questi tipi di risorse sono esclusi dalla criticità delle regole di automazione e continuano a ricevere una criticità dedotta.
## In che modo le regole di automazione valutano i risultati
Una regola di automazione valuta i risultati nuovi e aggiornati generati o acquisiti da Security Hub dopo la creazione della regola.
Le regole di automazione valutano i risultati originali forniti dal provider. I provider possono fornire nuovi risultati e aggiornare i risultati esistenti attraverso la loro integrazione con Security Hub. Le regole non vengono attivate quando si aggiornano i campi di ricerca dopo la creazione delle regole tramite l'`BatchUpdateFindingsV2`operazione. Se si crea una regola di automazione e si effettua un `BatchUpdateFindingsV2` aggiornamento che influiscono entrambi sullo stesso campo di ricerca, l'ultimo aggiornamento imposta il valore per quel campo. Prendiamo l'esempio seguente:
Si usa `BatchUpdateFindingsV2` per aggiornare il `Status` campo di un risultato da `New` a`In Process`. Se chiami`GetFindingsV2`, il `Status` campo ora ha un valore di`In Process`. Crei una regola di automazione che modifica il `Status` campo del risultato da `New` a `Suppressed` (ricorda che le regole ignorano gli aggiornamenti effettuati con`BatchUpdateFindingsV2`). Il provider di ricerca aggiorna il risultato e modifica il `Status` campo in`New`. Se si chiama`GetFindingsV2`, il `Status` campo ora ha un valore pari a `Suppressed` perché è stata applicata la regola di automazione e la regola è stata l'ultima azione intrapresa sul risultato.
Quando si crea o si modifica una regola sulla console Security Hub, la console mostra un'anteprima dei risultati che corrispondono ai criteri della regola. Mentre le regole di automazione valutano i risultati originali inviati dal provider dei risultati, l'anteprima della console riflette i risultati nel loro stato finale così come verrebbero visualizzati in risposta all'operazione dell'`GetFindingsV2`API (ovvero, dopo l'applicazione delle azioni delle regole o di altri aggiornamenti al risultato).
## Come vengono ordinate le regole di automazione
A ogni regola di automazione viene assegnato un ordine di regole. Ciò determina l'ordine in cui Security Hub applica le regole di automazione e diventa importante quando più regole si riferiscono allo stesso campo di ricerca o ricerca.
Quando più azioni delle regole si riferiscono allo stesso campo di ricerca o di ricerca, la regola con il valore numerico più alto per l'ordine delle regole si applica per ultima e ha l'effetto finale.
L'ordine delle regole determina anche la criticità finale di una risorsa. Quando più regole relative alle risorse corrispondono alla stessa risorsa, la regola applicata per ultima determina la criticità della risorsa.
Quando si crea una regola nella console di Security Hub, Security Hub assegna automaticamente l'ordine delle regole in base all'ordine di creazione delle regole. La prima regola creata avrà un ordine di regole pari a 1. Se esistono più regole, ogni regola creata successivamente avrà il valore numerico immediatamente più alto disponibile per l'ordine delle regole.
Quando crei una regola tramite [CreateAutomationRuleV2](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_CreateAutomationRuleV2.html)API o AWS CLI, Security Hub applica per `RuleOrder` prima la regola con il valore numerico più basso. Quindi applica le regole successive in ordine crescente. Se più risultati sono uguali`RuleOrder`, Security Hub applica prima una regola con un valore precedente per il `UpdatedAt` campo (ovvero, la regola che è stata modificata più di recente si applica per ultima).
È possibile modificare l'ordine delle regole in qualsiasi momento.
**Esempio di ordine delle regole**:
**Regola A (l'ordine delle regole è`1`)**:
+ Criteri della regola A
+ `ProductName` = `Security Hub CSPM`
+ `Resources.Type` è `S3 Bucket`
+ `Compliance.Status` = `FAILED`
+ `RecordState` è `NEW`
+ `Workflow.Status` = `ACTIVE`
+ Azioni della regola A
+ Aggiorna `Confidence` a `95`
+ Aggiorna `Severity` a `CRITICAL`
+ Aggiorna `Comment` a `This needs attention`
**Regola B (l'ordine delle regole è`2`)**:
+ Criteri della regola B
+ `AwsAccountId` = `123456789012`
+ Azioni della regola B
+ Aggiorna `Severity` a `INFORMATIONAL`
Innanzitutto, le azioni della Regola A si applicano ai risultati del Security Hub che soddisfano i criteri della Regola A. Quindi, le azioni della Regola B si applicano ai risultati del Security Hub con l'ID account specificato. In questo esempio, poiché la regola B si applica per ultima, il valore finale dei `Severity` risultati derivanti dall'ID account specificato è`INFORMATIONAL`. In base all'azione della Regola A, il valore finale dei `Confidence` risultati corrispondenti è`95`.
## Third-party integrazioni
Puoi utilizzare le regole di automazione per creare ticket per le integrazioni con Jira Cloud e. ServiceNow ITSM Per ulteriori informazioni, consulta [Creazione di una regola per un'integrazione di terze parti](https://docs.aws.amazon.com/securityhub/latest/userguide/securithub-v2-automation-rules-create.html#integration).
## Scenari in cui le regole di automazione non funzionano
Di seguito sono riportati gli scenari in cui le regole di automazione non funzionano.
+ L'account autonomo diventa membro di un'organizzazione con un amministratore delegato
+ L'account di gestione dell'organizzazione rimuove l'amministratore delegato e ne imposta un nuovo amministratore delegato
+ La configurazione dell'aggregatore per l'amministratore delegato o l'account autonomo cambia quando una regione non collegata diventa una regione collegata
In questi scenari, un membro di un'organizzazione può gestire le regole di automazione con le operazioni di elenco, acquisizione ed eliminazione nelle API o. AWS CLI
Quando una regione non collegata diventa una regione collegata, l'amministratore delegato o l'account autonomo può gestire le risorse in una regione collegata con operazioni di elenco, acquisizione ed eliminazione.