معايير الأمان ودرجات الامتثال

يمثل تجميع النتائج نصف قيمة Security Hub. أما النصف الآخر فهو الفحص المستمر لحسابك وفقًا لمعايير أفضل الممارسات ومنحك درجة. وهذا يوضح لك ليس فقط ما الذي هاجمك، بل أيضًا مدى انكشاف إعداداتك من الأساس.

يمثل معيار الأمان مجموعة منتقاة من عناصر التحكم الآلية التي تتحقق من توافق الموارد مع أفضل الممارسات. تُجري Security Hub هذه الفحوصات وفق جدول زمني، وتُبلغ عن كل عنصر تحكم باعتباره ناجحًا أو فاشلًا، فتحوّل السؤال العام «هل نحن آمنون؟» إلى نتائج ملموسة قابلة للقياس.

توفر Security Hub معايير تشمل AWS Foundational Security Best Practices (FSBP)، وCenter for Internet Security (CIS) AWS Foundations Benchmark، ومعايير متوافقة مع PCI DSS وNIST. ويستهدف كل معيار جمهورًا مختلفًا، بدءًا من التقوية العامة ووصولًا إلى أطر امتثال محددة.

يمثل معيار FSBP مجموعة AWS الواسعة من الفحوصات التي تغطي العديد من الخدمات، مثل «يجب أن تمنع حاويات S3 الوصول العام» أو «يجب أن يكون لدى مستخدم IAM الجذر مصادقة متعددة العوامل». ويُعد نقطة البداية الموصى بها لمعظم الحسابات، لأنه يعكس إرشادات AWS الحالية على نطاق واسع.

يُعد CIS AWS Foundations Benchmark دليلًا لتقوية الأمان وفق معيار متبع في المجال، ويصونه Center for Internet Security. ويؤدي تمكينه في Security Hub إلى فحص حسابك وفق عناصر تحكم توافقية معروفة، وهو مفيد عندما يتوقع المدققون توافقًا محددًا مع CIS.

يتكون كل معيار من عناصر تحكم فردية، ويُبلغ كل عنصر عن حالة: ناجح، أو فاشل، أو غير متاح. وتنشئ عناصر التحكم الفاشلة نتائج يمكنك إصلاحها. ويمكنك تعطيل عناصر التحكم التي لا تنطبق على بيئتك حتى لا تشوّه نتائجك.

تحسب Security Hub درجة أمنية تمثل نسبة عناصر التحكم الناجحة من بين العناصر المُمكَّنة. وتشير الدرجة الأعلى إلى وضع أمني أقوى. وتمنح الدرجةُ الإدارةَ مقياسًا بسيطًا لتتبعه بمرور الوقت، بينما تمنح عناصر التحكم الفاشلة الأساسيةُ المهندسين قائمة المهام المطلوب تنفيذها.

تتداخل العديد من عناصر التحكم بين المعايير. ويمكن لـ Security Hub توحيد نتائج عناصر التحكم حتى لا تُبلغ عن المشكلة الأساسية نفسها مرات عديدة. ويحافظ ذلك على نظافة الدرجة وقائمة النتائج حتى عندما تتحقق عدة معايير من الشيء نفسه.

عناصر التحكم الفاشلة هي نتائج تعمل على معالجتها، وغالبًا ما تكون مصحوبة بخطوات معالجة موثقة. ويمكنك توجيهها عبر EventBridge لإجراء إصلاحات آلية أو إلى نظام للتذاكر. ثم تتحسن الدرجة مع انتقال عناصر التحكم من فاشلة إلى ناجحة، مما يتيح قياس التقدم.

لا يناسب كل عنصر تحكم كل حساب. ويمكنك تعطيل عناصر تحكم فردية لا تنطبق على بيئتك، كما تقبل بعض عناصر التحكم معلمات لمطابقة سياستك، مثل الحد الأدنى المطلوب لطول كلمة المرور. ويساعد ضبط عناصر التحكم على إبقاء الدرجة الأمنية ذات معنى، لأن خفضها بسبب فحوصات غير ذات صلة قد يضلل بدلًا من أن يوجّه المعالجة.

هناك تبعية مهمة: تعتمد بعض عناصر تحكم Security Hub على قيام AWS Config بتسجيل تكوين الموارد. وإذا لم يكن Config يسجل أنواع الموارد ذات الصلة، فلن تتمكن عناصر التحكم تلك من التقييم، وقد تظهر بلا بيانات. لذلك، يمكّن البرنامج المتكامل للوضع الأمني Config إلى جانب Security Hub. وقد يخفي الاختبار هذه التبعية، متوقعًا منك معرفة أن Config يدعم العديد من فحوصات عناصر التحكم.

طابق المعايير مع الاحتياجات.

تقيس Security Hub الوضع الأمني من خلال تشغيل معايير الأمان، وهي مجموعات من عناصر التحكم الآلية، بما في ذلك FSBP من AWS، وCIS Benchmark، والمعايير المتوافقة مع PCI DSS/NIST. ويُبلغ كل عنصر تحكم عن كونه ناجحًا أو فاشلًا، منتجًا درجة أمنية (نسبة العناصر الناجحة). عطّل عناصر التحكم غير ذات الصلة، ووحّد العناصر المتداخلة، وعالج حالات الفشل لرفع الدرجة.