Sikkerhedsstandarder og overholdelsesscorer

Aggregering af resultater udgør halvdelen af Security Hubs værdi. Den anden halvdel er at kontrollere din konto løbende i forhold til standarder for bedste praksis og give dig en score. Det fortæller dig ikke kun, hvad der angreb dig, men også hvor eksponeret din konfiguration er fra starten.

En sikkerhedsstandard er et udvalgt sæt automatiserede kontroller, der kontrollerer ressourcer i forhold til bedste praksis. Security Hub udfører disse tjek efter en tidsplan og rapporterer hver kontrol som bestået eller ikke bestået, så vage spørgsmål som "er vi sikre?" bliver til konkrete, målbare resultater.

Security Hub tilbyder blandt andet standarderne AWS Foundational Security Best Practices (FSBP), Center for Internet Security (CIS) AWS Foundations Benchmark samt standarder, der følger PCI DSS og NIST. Hver standard henvender sig til forskellige behov, fra generel hærdning til specifikke krav til overholdelse.

Standarden FSBP er AWS' eget brede sæt tjek, der dækker mange tjenester, f.eks. "S3-buckets skal blokere offentlig adgang" eller "IAM-rootbrugeren skal have MFA". Det er det anbefalede udgangspunkt for de fleste konti, fordi det afspejler AWS' aktuelle retningslinjer på tværs af hele platformen.

CIS AWS Foundations Benchmark er en branchestandard for hærdning, som vedligeholdes af Center for Internet Security. Når du aktiverer den i Security Hub, kontrolleres din konto i forhold til velkendte kontroller baseret på branchens konsensus, hvilket er nyttigt, når revisorer specifikt forventer overensstemmelse med CIS.

Hver standard består af individuelle kontroller, og hver kontrol rapporterer en status: bestået, ikke bestået eller ikke tilgængelig. Kontroller, der ikke består, genererer resultater, som du kan afhjælpe. Du kan deaktivere kontroller, der ikke gælder for dit miljø, så de ikke forvrider dine resultater.

Security Hub beregner en sikkerhedsscore, som er procentdelen af beståede kontroller blandt de aktiverede kontroller. En højere score betyder et stærkere sikkerhedsniveau. Scoren giver ledelsen et enkelt mål, der kan følges over tid, mens de underliggende kontroller, der ikke er bestået, giver udviklerne en opgaveliste.

Mange kontroller overlapper hinanden på tværs af standarder. Security Hub kan samle kontrolresultater, så ét underliggende problem ikke rapporteres mange gange. Det holder scoren og resultatlisten overskuelig, selv når flere standarder kontrollerer det samme.

Kontroller, der ikke er bestået, er resultater, som du skal afhjælpe, ofte ved hjælp af dokumenterede trin til afhjælpning. Du kan sende dem gennem EventBridge til automatiske rettelser eller til et system til sagsstyring. Scoren forbedres derefter, efterhånden som kontroller flyttes fra ikke bestået til bestået, hvilket giver målbare fremskridt.

Ikke alle kontroller passer til alle konti. Du kan deaktivere individuelle kontroller, der ikke gælder, og nogle kontroller accepterer parametre, så de passer til din politik, f.eks. den krævede mindste adgangskodelængde. Justering af kontroller holder sikkerhedsscoren meningsfuld, fordi en score, der trækkes ned af irrelevante tjek, ville vildlede i stedet for at guide afhjælpningen.

En vigtig afhængighed er, at nogle kontroller i Security Hub er afhængige af, at AWS Config registrerer ressourcekonfiguration. Hvis Config ikke registrerer de relevante ressourcetyper, kan disse kontroller ikke evaluere dem og kan vise, at der ikke er data. Et komplet program for sikkerhedsniveauet aktiverer derfor Config sammen med Security Hub. Eksamen kan skjule denne afhængighed og forvente, at du ved, at Config understøtter mange kontroltjek.

Security Hub måler sikkerhedsniveauet ved at køre sikkerhedsstandarder, som er sæt af automatiserede kontroller, herunder AWS' FSBP, CIS-benchmarken og standarder, der følger PCI DSS og NIST. Hver kontrol rapporteres som bestået eller ikke bestået, hvilket danner en sikkerhedsscore (procentdelen, der er bestået). Deaktivér irrelevante kontroller, saml overlappende kontroller, og afhjælp fejl for at hæve scoren.