ASFF-formatet for findings

Security Hub aggregerer resultater fra dusinvis af kilder, som hver har deres egen struktur. For at gøre dem sammenlignelige konverterer den alt til ét skema: AWS Security Finding Format (ASFF). Hvis du forstår ASFF, kan du læse, filtrere og automatisere håndteringen af alle resultater uanset deres oprindelse.

ASFF er en standardiseret JSON-struktur med definerede felter, som alle resultater skal udfylde. Fordi felterne er ensartede, kan du skrive ét sæt regler, filtre eller automatiseringer, der fungerer på tværs af resultater fra GuardDuty, Macie, Inspector og partnere.

Vigtige felter omfatter et Id, der identificerer resultatet entydigt, en ProductArn, der angiver den tjeneste, som har produceret det, og et AwsAccountId. Disse felter lader dig spore ethvert resultat tilbage til dets kildekonto og -tjeneste, hvilket er afgørende ved aggregering på tværs af flere konti.

Feltet Types klassificerer resultatet ved hjælp af en navnerumstaksonomi (f.eks. en kategori for software og konfiguration eller usædvanlig adfærd), mens Title og Description giver læsevenlige opsummeringer. Tilsammen fortæller de hurtigt en analytiker, hvad resultatet drejer sig om.

ASFF normaliserer alvorlighedsgraden til en ensartet struktur med en normaliseret score og et mærkat (f.eks. INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Fordi alvorlighedsgraden udtrykkes på samme måde for alle kilder, kan du prioritere retfærdigt på tværs af tjenester, der oprindeligt brugte forskellige skalaer.

Arrayet Resources viser de berørte ressourcer med deres ARN'er, typer og detaljer. Sådan kan du se præcis, hvad et resultat påvirker, hvilket er afgørende for at sende afhjælpningen til den rigtige ressource og forstå problemets rækkevidde.

ASFF følger livscyklussen med status for Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) og en RecordState (ACTIVE eller ARCHIVED). Analytikere opdaterer workflowstatussen, mens de håndterer en observation, så køen viser, hvad der stadig kræver opmærksomhed, og hvad der er afsluttet.

For kontrolbaserede observationer indeholder ASFF et Compliance-felt, der angiver PASSED, FAILED eller WARNING i forhold til en standard. På den måde vises standardkontroller i samme format som trusselsobservationer, så sikkerhedsposition og trusselsdata samles i ét skema.

Da alle observationer deler dette skema, kan du opbygge EventBridge-regler og Lambda-funktioner, der reagerer på ASFF-felter som Severity.Label eller Resources.Type. Én automatisering kan reagere på observationer fra mange kilder, og det er netop formålet med normalisering.

Da ASFF-felter er standardiserede, kan du opbygge præcise filtre og indsigter ud fra dem: vis kun HIGH- og CRITICAL-observationer, kun en bestemt konto eller kun en bestemt ressourcetype. De samme felter bruges i EventBridge-hændelsesmønstre. Når du ved, hvilket ASFF-felt der indeholder de forskellige oplysninger, kan du opdele observationsstrømmen præcis, som en undersøgelse kræver.

Hvor BatchImportFindings indsætter nye observationer, giver BatchUpdateFindings dig mulighed for at ændre en observations workflowstatus, alvorlighed eller note, men kun bestemte felter og kun via den konto, der ejer observationen – ikke felterne fra det oprindelige produkt. Denne adskillelse holder kildedata pålidelige, samtidig med at analytikere kan administrere triagestatus, hvilket er en nuance, eksamen lejlighedsvis tester.

ASFF er Security Hubs standardiserede JSON-skema for alle observationer. Vigtige felter omfatter Id, ProductArn, AwsAccountId, Types, normaliseret Severity (etiket og score), Resources (ARN'er), livscyklussen for Workflow/RecordState og Compliance-status. Det fælles skema muliggør ensartet filtrering og EventBridge-drevet automatisering, og du kan importere brugerdefinerede observationer via BatchImportFindings.