Ce que Security Hub regroupe

À mesure que vous ajoutez des services de sécurité, les alertes s’accumulent dans de nombreuses consoles. AWS Security Hub résout ce problème en servant d’agrégateur central : il collecte les résultats provenant de nombreux services de sécurité AWS et outils partenaires dans une vue unique. Au lieu de vérifier chaque service, vous effectuez le tri depuis un seul endroit.

Security Hub ingère les résultats de services tels que GuardDuty, Macie, Inspector, IAM Access Analyzer et Firewall Manager, ainsi que ceux de produits tiers. Il exécute également ses propres vérifications de sécurité automatisées. Vous obtenez ainsi une liste unifiée de tous les problèmes présents dans votre compte.

Les différents services décrivent les résultats de manière différente. Security Hub les convertit tous dans une structure standard unique, l’AWS Security Finding Format (ASFF), afin que chaque résultat se présente de manière cohérente, quelle que soit son origine. Cette normalisation permet d’obtenir une vue unique de la sécurité.

Security Hub n’est pas seulement un collecteur : il évalue activement votre compte par rapport aux normes de sécurité au moyen de vérifications automatisées. Ces vérifications génèrent leurs propres résultats concernant les erreurs de configuration. Vous disposez ainsi, dans un seul service, des alertes reçues et d’une évaluation continue de votre posture.

Comme les résultats sont régionaux, Security Hub propose une fonctionnalité d’agrégation entre régions qui regroupe les résultats de nombreuses régions dans une seule région d’agrégation. L’équipe de sécurité bénéficie ainsi d’une véritable vue unique de toute l’infrastructure, plutôt que de silos propres à chaque région.

Comme GuardDuty, Security Hub prend en charge un administrateur délégué et l’intégration à AWS Organizations. Un compte de sécurité peut agréger les résultats de tous les comptes membres, avec une activation automatique pour les nouveaux comptes. Cette fonctionnalité se combine à l’agrégation entre régions pour offrir une visibilité à l’échelle de l’organisation.

En supprimant les doublons et en normalisant les résultats, Security Hub réduit le bruit et aide les analystes à comprendre la situation réelle. Les résultats associés peuvent être regroupés, et une gravité cohérente permet de les hiérarchiser équitablement entre les sources. L’objectif est d’obtenir moins d’alertes, plus claires et plus faciles à traiter.

Security Hub s’intègre à EventBridge : les résultats agrégés peuvent donc déclencher des réponses automatisées ou être transférés vers des outils de gestion des tickets et de discussion. Le hub central devient ainsi le point de départ des processus de réponse, et non un simple tableau de bord.

Considérez le flux de la manière suivante : détecter, agréger, examiner, répondre. GuardDuty et les autres services détectent ; Security Hub agrège et évalue ; Detective examine ; EventBridge et Lambda répondent. Security Hub constitue le système nerveux central qui relie la détection à l’action.

Les résultats agrégés par Security Hub couvrent plusieurs catégories : détections de menaces provenant de GuardDuty, découvertes de données sensibles provenant de Macie, résultats de vulnérabilités provenant d’Inspector et résultats liés aux accès provenant d’IAM Access Analyzer. Le regroupement des menaces, des vulnérabilités, des risques liés aux données et des risques liés aux accès en un seul endroit fait de Security Hub une véritable vue unique de la posture de sécurité.

Pour importer les résultats d’un service, celui-ci doit être activé et intégré à Security Hub. De nombreuses sources AWS s’intègrent automatiquement après l’activation de Security Hub ; les produits partenaires s’intègrent depuis la page des intégrations. Une lacune fréquente consiste à attendre des résultats d’une source qui n’a jamais été activée. La vérification des intégrations actives fait donc partie de toute configuration d’agrégation.

Choisissez le service d’agrégation.

Security Hub centralise et normalise les résultats de GuardDuty, Macie, Inspector, Access Analyzer et des partenaires au format ASFF, tout en exécutant des vérifications de posture par rapport aux normes. Il prend en charge l’agrégation entre régions et entre comptes (avec un administrateur délégué) et alimente EventBridge pour la réponse. Il sert ainsi de vue unique pour les résultats de sécurité.