تنسيق نتائج ASFF

تجمع Security Hub النتائج من عشرات المصادر، ولكل مصدر بنيته الخاصة. ولجعلها قابلة للمقارنة، تحول كل شيء إلى مخطط واحد هو AWS Security Finding Format (ASFF). ويتيح لك فهم ASFF قراءة أي نتيجة وتصفيتها وأتمتتها، بغض النظر عن مصدرها.

ASFF هو بنية JSON موحّدة ذات حقول محددة يجب أن تملأها كل نتيجة. وبفضل اتساق الحقول، يمكنك كتابة مجموعة واحدة من القواعد أو عوامل التصفية أو عمليات التشغيل الآلي التي تعمل مع نتائج GuardDuty وMacie وInspector والشركاء على حد سواء.

تشمل الحقول الرئيسية Id الذي يحدد النتيجة بشكل فريد، وProductArn الذي يحدد اسم الخدمة التي أنتجتها، وAwsAccountId. وتتيح لك هذه الحقول تتبع أي نتيجة وصولًا إلى حساب المصدر والخدمة المصدر، وهو أمر أساسي عند التجميع عبر حسابات متعددة.

يصنّف الحقل Types النتيجة باستخدام تصنيف هرمي لمساحات الأسماء (مثل فئة البرامج والإعدادات أو فئة السلوك غير المعتاد)، بينما يوفر كل من Title وDescription ملخصات سهلة القراءة. وتوضح هذه الحقول معًا للمحلل، بنظرة سريعة، موضوع النتيجة.

توحّد ASFF مستوى الخطورة في بنية متسقة تتضمن درجة وتسمية موحّدتين (مثل INFORMATIONAL وLOW وMEDIUM وHIGH وCRITICAL). وبما أن الخطورة تُعبَّر بالطريقة نفسها لكل مصدر، يمكنك ترتيب الأولويات بعدالة عبر الخدمات التي كانت تستخدم مقاييس مختلفة في الأصل.

تسرد مصفوفة Resources الموارد المتأثرة مع ARNs الخاصة بها وأنواعها وتفاصيلها. وهكذا تعرف بدقة ما الذي تؤثر فيه النتيجة، وهو أمر بالغ الأهمية لتوجيه المعالجة إلى المورد الصحيح وفهم نطاق التأثير.

يتتبع ASFF دورة الحياة باستخدام حالة Workflow ‏(NEW وNOTIFIED وRESOLVED وSUPPRESSED) وRecordState ‏(ACTIVE أو ARCHIVED). يحدّث المحللون حالة سير العمل أثناء معالجتهم للعثور، بحيث يعكس الطابور ما يزال يحتاج إلى الانتباه وما تم إنجازه.

بالنسبة إلى الاكتشافات المستندة إلى عناصر التحكم، يتضمن ASFF حقل Compliance الذي يبيّن ما إذا كان الفحص مقابل معيار ما قد نجح أو فشل أو أطلق تحذيرًا، باستخدام PASSED أو FAILED أو WARNING. وبهذه الطريقة تظهر فحوص المعايير بالتنسيق نفسه المستخدم لاكتشافات التهديد، فتتوحّد بيانات الوضع الأمني والتهديدات ضمن مخطط واحد.

بما أن كل اكتشاف يشترك في هذا المخطط، يمكنكم إنشاء EventBridge rules and Lambda functions تعتمد على حقول ASFF مثل Severity.Label أو Resources.Type. ويمكن لأتمتة واحدة الاستجابة لاكتشافات واردة من مصادر متعددة، وهذا هو الهدف الأساسي من التطبيع.

بما أن حقول ASFF موحّدة، يمكنكم إنشاء filters and insights دقيقة عليها: لعرض الاكتشافات HIGH وCRITICAL فقط، أو اكتشافات حساب معيّن فقط، أو نوع مورد معيّن فقط. وتستخدم أنماط أحداث EventBridge الحقول نفسها. إن إتقان الحقل الذي يحتوي كل معلومة في ASFF يتيح لكم تقسيم تدفق الاكتشافات بدقة وفقًا لمتطلبات التحقيق.

في حين أن BatchImportFindings يُدخل اكتشافات جديدة، يتيح لكم BatchUpdateFindings تغيير حالة سير عمل الاكتشاف أو شدته أو ملاحظته، ولكن لحقول محددة فقط، ومن خلال الحساب الذي يملك الاكتشاف، وليس حقول المنتج الذي أنشأه. يحافظ هذا الفصل على موثوقية بيانات المصدر، مع إتاحة إدارة حالة الفرز للمحللين؛ وهي نقطة دقيقة قد يختبرها الامتحان أحيانًا.

استرجعوا الغرض من ASFF.

‏ASFF هو مخطط JSON موحّد في Security Hub لجميع الاكتشافات. وتشمل الحقول الرئيسية Id وProductArn وAwsAccountId وTypes، وSeverity المطبيع (التصنيف والدرجة)، وResources (معرّفات ARN)، ودورة حياة Workflow/RecordState، وحالة Compliance. يتيح المخطط المشترك التصفية المتسقة والأتمتة المستندة إلى EventBridge، كما يمكنكم استيراد اكتشافات مخصّصة باستخدام BatchImportFindings.