Qué agrega Security Hub

A medida que añade servicios de seguridad, las alertas se acumulan en numerosas consolas. AWS Security Hub resuelve este problema actuando como un agregador central: recopila los hallazgos de muchos servicios de seguridad de AWS y herramientas de socios en una sola vista. En lugar de comprobar cada servicio, puede clasificar y gestionar los hallazgos desde un único lugar.

Security Hub incorpora hallazgos de servicios como GuardDuty, Macie, Inspector, IAM Access Analyzer y Firewall Manager, además de productos de terceros. También ejecuta sus propias comprobaciones de seguridad automatizadas. El resultado es una lista de tareas unificada con todos los problemas de su cuenta.

Los distintos servicios describen los hallazgos de maneras diferentes. Security Hub los convierte todos a una estructura estándar, el AWS Security Finding Format (ASFF), para que cada hallazgo tenga un aspecto coherente independientemente de su origen. Esta normalización es lo que permite disponer de una única vista.

Security Hub no es solo un recopilador; también evalúa activamente su cuenta con respecto a estándares de seguridad mediante comprobaciones automatizadas. Estas comprobaciones generan sus propios hallazgos sobre errores de configuración, lo que le proporciona alertas entrantes y una evaluación continua de la postura en un mismo servicio.

Dado que los hallazgos son regionales, Security Hub ofrece una función de agregación entre regiones que reúne los hallazgos de varias regiones en una región de agregación. Esto proporciona al equipo de seguridad una vista única real de toda la infraestructura, en lugar de silos separados por región.

Al igual que GuardDuty, Security Hub admite un administrador delegado y la integración con AWS Organizations. Una cuenta de seguridad puede agregar los hallazgos de todas las cuentas miembro, con habilitación automática para las cuentas nuevas. Esto se combina con la agregación entre regiones para ofrecer visibilidad en toda la organización.

Al eliminar duplicados y normalizar los datos, Security Hub reduce el ruido y ayuda a los analistas a ver la situación real. Los hallazgos relacionados pueden agruparse, y una gravedad coherente permite establecer prioridades de forma equitativa entre las distintas fuentes. El objetivo es contar con menos alertas, más claras y más útiles para tomar medidas.

Security Hub se integra con EventBridge, por lo que los hallazgos agregados pueden activar respuestas automatizadas o reenviarse a herramientas de gestión de tickets y chat. Así, el hub central se convierte en el punto de partida de los flujos de respuesta, no solo en un panel.

Considere el flujo de la siguiente manera: detectar, agregar, investigar y responder. GuardDuty y otros servicios detectan; Security Hub agrega y asigna puntuaciones; Detective investiga; EventBridge y Lambda responden. Security Hub es el sistema nervioso central que conecta la detección con la acción.

Los hallazgos que agrega Security Hub abarcan varias categorías: detecciones de amenazas de GuardDuty, descubrimientos de datos confidenciales de Macie, hallazgos de vulnerabilidades de Inspector y hallazgos de acceso de IAM Access Analyzer. Reunir amenazas, vulnerabilidades, riesgos de datos y riesgos de acceso en un solo lugar es lo que convierte a Security Hub en una verdadera vista única de la postura de seguridad.

Para incorporar los hallazgos de un servicio, dicho servicio debe estar habilitado e integrado con Security Hub. Muchas fuentes de AWS se integran automáticamente una vez que activa Security Hub; los productos de socios se integran mediante la página de integraciones. Un problema común es esperar hallazgos de una fuente que nunca se habilitó, por lo que confirmar las integraciones activas forma parte de cualquier configuración de agregación.

Seleccione el servicio de agregación.

Security Hub centraliza y normaliza los hallazgos de GuardDuty, Macie, Inspector, Access Analyzer y los socios en el formato ASFF, y también ejecuta comprobaciones de postura con respecto a estándares. Admite la agregación entre regiones y entre cuentas (con un administrador delegado) y envía datos a EventBridge para responder, por lo que actúa como la vista única de los hallazgos de seguridad.