Welche Daten Security Hub zusammenführt

Wenn Sie weitere Sicherheitsservices hinzufügen, sammeln sich Warnungen in zahlreichen Konsolen. AWS Security Hub löst dieses Problem als zentraler Aggregator: Der Service sammelt Findings aus zahlreichen AWS-Sicherheitsservices und Partnertools in einer einzigen Ansicht. Statt jeden Service einzeln zu prüfen, bearbeiten Sie die Findings an einer zentralen Stelle.

Security Hub übernimmt Findings aus Services wie GuardDuty, Macie, Inspector, IAM Access Analyzer und Firewall Manager sowie aus Produkten von Drittanbietern. Außerdem führt der Service eigene automatisierte Sicherheitsprüfungen durch. Das Ergebnis ist eine einheitliche Liste aller Probleme in Ihrem Konto.

Verschiedene Services beschreiben Findings auf unterschiedliche Weise. Security Hub wandelt sie alle in eine einheitliche Standardstruktur um, das AWS Security Finding Format (ASFF), sodass jedes Finding unabhängig von seiner Quelle einheitlich aussieht. Diese Normalisierung ermöglicht die zentrale Gesamtansicht.

Security Hub ist nicht nur ein Sammler, sondern bewertet Ihr Konto aktiv anhand von Sicherheitsstandards und automatisierten Prüfungen. Diese Prüfungen erzeugen eigene Findings zu Fehlkonfigurationen. So erhalten Sie in einem Service sowohl eingehende Warnungen als auch eine kontinuierliche Bewertung Ihrer Sicherheitslage.

Da Findings regional sind, bietet Security Hub eine Funktion zur regionsübergreifenden Aggregation, die Findings aus mehreren Regionen in einer Aggregationsregion zusammenführt. Dadurch erhält das Sicherheitsteam eine echte zentrale Ansicht über die gesamte Umgebung statt isolierter Ansichten pro Region.

Wie GuardDuty unterstützt Security Hub einen delegierten Administrator und die Integration mit AWS Organizations. Ein Sicherheitskonto kann Findings aus jedem Mitgliedskonto aggregieren, wobei neue Konten automatisch aktiviert werden können. Zusammen mit der regionsübergreifenden Aggregation ermöglicht dies organisationsweite Transparenz.

Durch Deduplizierung und Normalisierung reduziert Security Hub das Rauschen und hilft Analysten, das tatsächliche Gesamtbild zu erkennen. Zusammengehörige Findings können gruppiert werden, und einheitliche Schweregrade ermöglichen eine faire Priorisierung über verschiedene Quellen hinweg. Das Ziel sind weniger, klarere und besser umsetzbare Warnungen.

Security Hub lässt sich in EventBridge integrieren, sodass aggregierte Findings automatisierte Reaktionen auslösen oder an Ticketing- und Chat-Tools weitergeleitet werden können. Damit wird der zentrale Hub zum Ausgangspunkt für Reaktions-Workflows und ist nicht nur ein Dashboard.

Stellen Sie sich den Ablauf so vor: erkennen, aggregieren, untersuchen, reagieren. GuardDuty und andere Services erkennen Bedrohungen; Security Hub aggregiert und bewertet sie; Detective untersucht sie; EventBridge und Lambda reagieren darauf. Security Hub ist das zentrale Nervensystem, das Erkennung und Reaktion miteinander verbindet.

Die von Security Hub aggregierten Findings umfassen mehrere Kategorien: Bedrohungserkennungen von GuardDuty, Erkennungen sensibler Daten von Macie, Vulnerability Findings von Inspector und Zugriffs-Findings von IAM Access Analyzer. Bedrohungen, Schwachstellen, Datenrisiken und Zugriffsrisiken an einer Stelle zusammenzuführen, macht Security Hub zu einer echten zentralen Ansicht der Sicherheitslage.

Damit die Findings eines Services übernommen werden können, muss dieser Service für Security Hub aktiviert und integriert sein. Viele AWS-Quellen werden automatisch integriert, sobald Sie Security Hub aktivieren; Produkte von Partnern werden über die Integrationsseite eingebunden. Häufig wird erwartet, dass Findings aus einer Quelle vorliegen, die nie aktiviert wurde. Daher gehört die Überprüfung aktiver Integrationen zu jeder Einrichtung einer Aggregation.

Wählen Sie den Aggregationsservice aus.

Security Hub zentralisiert und normalisiert Findings aus GuardDuty, Macie, Inspector, Access Analyzer und von Partnern im Format ASFF und führt gleichzeitig Prüfungen der Sicherheitslage anhand von Standards durch. Der Service unterstützt die regions- und kontenübergreifende Aggregation (mit delegiertem Administrator) und übergibt Findings zur Reaktion an EventBridge. Damit dient er als zentrale Gesamtansicht für Sicherheits-Findings.