Estándares de seguridad y puntuaciones de conformidad

Agregar hallazgos representa la mitad del valor de Security Hub. La otra mitad consiste en comprobar continuamente su cuenta con respecto a estándares de buenas prácticas y proporcionarle una puntuación. Esto le indica no solo qué le atacó, sino también hasta qué punto está expuesta su configuración desde el principio.

Un estándar de seguridad es un conjunto seleccionado de controles automatizados que comprueban los recursos con respecto a las buenas prácticas. Security Hub ejecuta estas comprobaciones según una programación e informa de cada control como aprobado o fallido, transformando la pregunta imprecisa «¿estamos protegidos?» en resultados concretos y medibles.

Security Hub ofrece estándares como AWS Foundational Security Best Practices (FSBP), el Center for Internet Security (CIS) AWS Foundations Benchmark y estándares alineados con PCI DSS y NIST. Cada uno está dirigido a un público diferente, desde el fortalecimiento general hasta regímenes de cumplimiento específicos.

El estándar FSBP es el amplio conjunto de comprobaciones propio de AWS que cubre muchos servicios, como «los buckets de S3 deben bloquear el acceso público» o «el usuario raíz de IAM debe tener MFA». Es el punto de partida recomendado para la mayoría de las cuentas porque refleja las directrices actuales de AWS en términos generales.

El CIS AWS Foundations Benchmark es una guía de fortalecimiento estándar del sector que mantiene el Center for Internet Security. Al habilitarlo en Security Hub, se comprueba su cuenta con respecto a controles de consenso ampliamente reconocidos, lo que resulta útil cuando los auditores esperan específicamente una alineación con CIS.

Cada estándar está compuesto por controles individuales, y cada control informa de un estado: aprobado, fallido o no disponible. Los controles fallidos generan hallazgos que puede corregir. Puede deshabilitar los controles que no se apliquen a su entorno para que no distorsionen los resultados.

Security Hub calcula una puntuación de seguridad, que es el porcentaje de controles aprobados con respecto al total de controles habilitados. Una puntuación más alta indica una postura más sólida. La puntuación proporciona a la dirección una métrica sencilla para realizar un seguimiento a lo largo del tiempo, mientras que los controles fallidos subyacentes ofrecen a los ingenieros la lista de tareas pendientes.

Muchos controles se solapan entre estándares. Security Hub puede consolidar los hallazgos de los controles para que un único problema subyacente no se informe varias veces. Esto mantiene limpia la puntuación y la lista de hallazgos, incluso cuando varios estándares comprueban lo mismo.

Los controles fallidos son hallazgos que debe corregir, a menudo siguiendo pasos de corrección documentados. Puede dirigirlos mediante EventBridge para aplicar correcciones automatizadas o enviarlos a un sistema de gestión de tickets. La puntuación mejora a medida que los controles pasan de fallidos a aprobados, lo que permite medir el progreso.

No todos los controles se ajustan a todas las cuentas. Puede deshabilitar controles individuales que no se apliquen, y algunos controles aceptan parámetros para adaptarse a su política, como la longitud mínima requerida de la contraseña. Ajustar los controles mantiene el significado de la puntuación de seguridad, ya que una puntuación reducida por comprobaciones irrelevantes induciría a error en lugar de orientar la corrección.

Existe una dependencia importante: algunos controles de Security Hub dependen de que AWS Config registre la configuración de los recursos. Si Config no registra los tipos de recursos relevantes, esos controles no pueden evaluarlos y pueden aparecer sin datos. Por ello, un programa completo de gestión de la postura habilita Config junto con Security Hub. El examen puede ocultar esta dependencia, esperando que sepa que Config sustenta muchas comprobaciones de controles.

Relacione los estándares con las necesidades.

Security Hub mide la postura mediante la ejecución de estándares de seguridad, es decir, conjuntos de controles automatizados, entre ellos FSBP de AWS, el benchmark de CIS y estándares alineados con PCI DSS/NIST. Cada control informa de si está aprobado o fallido, lo que produce una puntuación de seguridad (porcentaje de controles aprobados). Deshabilite los controles irrelevantes, consolide los que se solapen y corrija los fallos para aumentar la puntuación.