Das ASFF-Finding-Format

Security Hub aggregiert Findings aus Dutzenden von Quellen, die jeweils eine eigene Struktur verwenden. Damit sie vergleichbar sind, wandelt Security Hub alles in ein gemeinsames Schema um: das AWS Security Finding Format (ASFF). Wenn Sie ASFF verstehen, können Sie jedes Finding unabhängig von seiner Herkunft lesen, filtern und automatisieren.

ASFF ist eine standardisierte JSON-Struktur mit festgelegten Feldern, die jedes Finding befüllen muss. Da die Felder einheitlich sind, können Sie einen einzigen Satz von Regeln, Filtern oder Automatisierungen schreiben, der für Findings aus GuardDuty, Macie, Inspector und von Partnern gleichermaßen funktioniert.

Zu den wichtigsten Feldern gehören eine Id, die das Finding eindeutig identifiziert, ein ProductArn, der den erzeugenden Service angibt, und eine AwsAccountId. Damit können Sie jedes Finding auf sein Quellkonto und seinen Quellservice zurückführen – eine wichtige Voraussetzung für die Aggregation über mehrere Konten.

Das Feld Types klassifiziert das Finding mithilfe einer Taxonomie aus Namespaces, etwa als Kategorie für Software und Konfiguration oder für ungewöhnliches Verhalten. Title und Description liefern dagegen verständliche Zusammenfassungen. Zusammen zeigen sie einem Analysten auf einen Blick, worum es bei dem Finding geht.

ASFF normalisiert den Schweregrad in einer einheitlichen Struktur mit einem normalisierten Score und Label (etwa INFORMATIONAL, LOW, MEDIUM, HIGH oder CRITICAL). Da der Schweregrad für jede Quelle gleich ausgedrückt wird, können Sie Services fair priorisieren, auch wenn sie ursprünglich unterschiedliche Skalen verwendet haben.

Das Array Resources listet die betroffenen Ressourcen mit ihren ARNs, Typen und Details auf. So erkennen Sie genau, welche Ressourcen von einem Finding betroffen sind. Das ist entscheidend, um die Behebung an die richtige Ressource weiterzuleiten und die Reichweite der Auswirkungen zu verstehen.

ASFF verfolgt den Lebenszyklus mit einem Workflow-Status (NEW, NOTIFIED, RESOLVED, SUPPRESSED) und einem RecordState (ACTIVE oder ARCHIVED). Analysten aktualisieren den Workflow-Status, während sie einen Fund bearbeiten. So zeigt die Warteschlange, was noch Aufmerksamkeit erfordert und was bereits erledigt ist.

Für kontrollbasierte Funde enthält ASFF ein Compliance-Feld, das für einen Standard PASSED, FAILED oder WARNING meldet. So werden Standardprüfungen im gleichen Format wie Bedrohungsfunde dargestellt, wodurch Sicherheitslage und Bedrohungsdaten in einem Schema zusammengeführt werden.

Da jeder Fund dieses Schema verwendet, können Sie EventBridge rules and Lambda functions erstellen, die sich an ASFF-Feldern wie Severity.Label oder Resources.Type orientieren. Eine Automatisierung kann auf Funde aus vielen Quellen reagieren – genau das ist der Zweck der Normalisierung.

Da ASFF-Felder standardisiert sind, können Sie darauf präzise filters and insights aufbauen: etwa nur Funde mit HIGH und CRITICAL, nur aus einem bestimmten Konto oder nur für einen Ressourcentyp anzeigen. Dieselben Felder werden auch in EventBridge-Ereignismustern verwendet. Wenn Sie wissen, welches ASFF-Feld welche Information enthält, können Sie den Fundstrom genau so aufteilen, wie es eine Untersuchung erfordert.

Während BatchImportFindings neue Funde einfügt, können Sie mit BatchUpdateFindings den Workflow-Status, den Schweregrad oder eine Notiz eines Funds ändern – allerdings nur bestimmte Felder und nur über das Konto, dem der Fund gehört, nicht über die Felder des ursprünglichen Produkts. Diese Trennung hält Quelldaten vertrauenswürdig und ermöglicht Analysten dennoch, den Triage-Status zu verwalten. Diese Feinheit wird gelegentlich in der Prüfung abgefragt.

Rufen Sie sich den Zweck von ASFF ins Gedächtnis.

ASFF ist das standardisierte JSON-Schema von Security Hub für alle Funde. Zu den wichtigsten Feldern gehören Id, ProductArn, AwsAccountId, Types, der normalisierte Severity-Wert (Label und Score), Resources (ARNs), der Lebenszyklus von Workflow/RecordState und der Compliance-Status. Das gemeinsame Schema ermöglicht einheitliche Filterung und EventBridge-basierte Automatisierung. Eigene Funde können Sie mit BatchImportFindings importieren.