ASFF-löytösten muoto

Security Hub aggregoi löydöksiä kymmenistä lähteistä, joilla kullakin on oma rakenteensa. Jotta löydöksiä voidaan verrata, se muuntaa kaiken yhteen skeemaan: AWS Security Finding Format (ASFF). ASFF:n ymmärtäminen mahdollistaa minkä tahansa löydöksen lukemisen, suodattamisen ja automaattisen käsittelyn sen lähteestä riippumatta.

ASFF on standardoitu JSON-rakenne, jossa on määritetyt kentät, jotka jokaisen löydöksen on täytettävä. Koska kentät ovat yhdenmukaiset, voitte kirjoittaa yhden säännöstön, suodatinjoukon tai automaation, joka toimii samalla tavalla GuardDuty-, Macie-, Inspector- ja kumppanilöydöksissä.

Keskeisiä kenttiä ovat löydöksen yksilöllisesti tunnistava Id, löydöksen tuottavan palvelun ilmoittava ProductArn ja AwsAccountId. Näiden avulla voitte jäljittää minkä tahansa löydöksen sen lähdetiliin ja -palveluun, mikä on olennaista monen tilin aggregoinnissa.

Types-kenttä luokittelee löydöksen nimiavaruuteen perustuvan luokituksen avulla, esimerkiksi ohjelmisto- ja määritysluokkaan tai poikkeavan toiminnan luokkaan. Title ja Description tarjoavat ihmisluettavat yhteenvedot. Yhdessä ne kertovat analyytikolle nopeasti, mistä löydöksessä on kyse.

ASFF normalisoi vakavuuden yhdenmukaiseen rakenteeseen, jossa on normalisoitu pistemäärä ja luokitus, kuten INFORMATIONAL, LOW, MEDIUM, HIGH tai CRITICAL. Koska vakavuus ilmaistaan samalla tavalla kaikille lähteille, voitte priorisoida löydöksiä oikeudenmukaisesti eri palveluiden välillä, vaikka ne alun perin käyttäisivät eri asteikkoja.

Resources-taulukko sisältää luettelon vaikutuksen kohteena olevista resursseista sekä niiden ARN-tunnisteet, tyypit ja tiedot. Sen avulla tiedätte tarkasti, mihin löydös vaikuttaa. Tämä on olennaista, kun korjaustoimet reititetään oikealle resurssille ja vaikutusaluetta arvioidaan.

ASFF seuraa elinkaarta Workflow-tilan (NEW, NOTIFIED, RESOLVED, SUPPRESSED) ja RecordState-tilan (ACTIVE tai ARCHIVED) avulla. Analyytikot päivittävät työnkulun tilaa käsitellessään havaintoa, joten jono näyttää, mikä vaatii vielä huomiota ja mikä on jo käsitelty.

Kontrollipohjaisissa havainnoissa ASFF sisältää Compliance-kentän, joka ilmoittaa standardiin nähden arvon PASSED, FAILED tai WARNING. Näin standardien tarkistusten tulokset esitetään samassa muodossa uhkahavaintojen kanssa, jolloin suojaustaso- ja uhkatiedot yhdistyvät samaan skeemaan.

Koska kaikilla havainnoilla on tämä sama skeema, voitte rakentaa EventBridge rules and Lambda functions -ratkaisuja, jotka perustuvat ASFF-kenttiin, kuten Severity.Label tai Resources.Type. Yksi automaatio voi reagoida monista lähteistä tuleviin havaintoihin, mikä on normalisoinnin perimmäinen tarkoitus.

Koska ASFF-kentät ovat standardoituja, voitte luoda niiden perusteella tarkkoja suodattimia ja näkymiä: voitte näyttää vain HIGH- ja CRITICAL-havainnot, vain tietyn tilin havainnot tai vain tietyn resurssityypin havainnot. Samat kentät määrittävät myös EventBridge-tapahtumamallit. Kun hallitsette, mikä ASFF-kenttä sisältää minkäkin tiedon, voitte rajata havaintovirran täsmälleen tutkinnan vaatimalla tavalla.

BatchImportFindings tuo uusia havaintoja, kun taas BatchUpdateFindings mahdollistaa havainnon työnkulun tilan, vakavuuden tai muistiinpanon muuttamisen. Muutettavissa ovat kuitenkin vain tietyt kentät, ja muutoksen voi tehdä vain havainnon omistava tili – ei alkuperäisen tuotteen kenttiä. Tämä erottelu säilyttää lähdetietojen luotettavuuden ja antaa silti analyytikoille mahdollisuuden hallita triagen tilaa. Tätä yksityiskohtaa kysytään joskus kokeessa.

ASFF on Security Hubin standardoitu JSON-skeema kaikille havainnoille. Keskeisiä kenttiä ovat Id, ProductArn, AwsAccountId, Types, normalisoitu Severity (nimiö ja pistemäärä), Resources (ARN-tunnisteet), Workflow/RecordState-elinkaari ja Compliance-tila. Jaettu skeema mahdollistaa yhdenmukaisen suodatuksen ja EventBridge-pohjaisen automaation, ja mukautettuja havaintoja voi tuoda BatchImportFindings-toiminnolla.