ASFF खोज प्रारूप

सुरक्षा हब दर्जनों स्रोतों से निष्कर्ष एकत्र करता है और हर स्रोत की अपनी संरचना होती है। उन्हें तुलनीय बनाने के लिए यह सभी को एक ही स्कीमा, AWS Security Finding Format (ASFF), में बदल देता है। ASFF को समझने से आप स्रोत चाहे जो हो, किसी भी निष्कर्ष को पढ़, फ़िल्टर और स्वचालित कर सकते हैं।

ASFF एक मानकीकृत JSON संरचना है, जिसमें निर्धारित फ़ील्ड होते हैं और हर निष्कर्ष में उन्हें भरना आवश्यक होता है। फ़ील्ड एकसमान होने के कारण आप नियमों, फ़िल्टरों या स्वचालन का एक ही समूह लिख सकते हैं, जो GuardDuty, मैकी, इंस्पेक्टर और साझेदारों के सभी निष्कर्षों पर काम करता है।

मुख्य फ़ील्ड में निष्कर्ष की विशिष्ट पहचान करने वाला Id, उसे उत्पन्न करने वाली सेवा का नाम बताने वाला ProductArn और एक AwsAccountId शामिल हैं। इनसे आप किसी भी निष्कर्ष को उसके स्रोत खाते और सेवा तक वापस खोज सकते हैं, जो कई खातों के एकत्रीकरण में आवश्यक है।

Types फ़ील्ड नामस्थान वर्गीकरण का उपयोग करके निष्कर्ष की श्रेणी तय करता है, जैसे सॉफ़्टवेयर और कॉन्फ़िगरेशन या असामान्य व्यवहार की श्रेणी। वहीं Title और Description मनुष्यों के लिए पढ़ने योग्य सारांश देते हैं। साथ मिलकर ये विश्लेषक को तुरंत बताते हैं कि निष्कर्ष किस बारे में है।

ASFF गंभीरता को मानकीकृत स्कोर और लेबल वाली एकसमान संरचना में बदलता है, जैसे INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL। हर स्रोत के लिए गंभीरता एक ही तरह व्यक्त होने के कारण आप अलग-अलग पैमाने इस्तेमाल करने वाली सेवाओं में भी निष्पक्ष रूप से प्राथमिकता तय कर सकते हैं।

Resources सारणी प्रभावित संसाधनों को उनके ARN, प्रकार और विवरण के साथ सूचीबद्ध करती है। इससे आपको ठीक-ठीक पता चलता है कि किसी निष्कर्ष का प्रभाव किन संसाधनों पर है, जो सुधार को सही संसाधन तक भेजने और प्रभाव-क्षेत्र समझने के लिए अत्यंत महत्वपूर्ण है।

ASFF जीवनचक्र को Workflow स्थिति (NEW, NOTIFIED, RESOLVED, SUPPRESSED) और RecordState (ACTIVE या ARCHIVED) के माध्यम से ट्रैक करता है। विश्लेषक किसी finding पर काम करते समय उसकी workflow स्थिति अपडेट करते हैं, इसलिए कतार में यह स्पष्ट रहता है कि किन मामलों पर अभी ध्यान देना है और कौन-से पूरे हो चुके हैं।

नियंत्रण-आधारित findings के लिए, ASFF किसी मानक के विरुद्ध PASSED, FAILED या WARNING बताने वाला Compliance फ़ील्ड शामिल करता है। इसी तरह मानक जाँचों के परिणाम threat findings के समान प्रारूप में दिखाई देते हैं, जिससे posture और threat data एक ही schema में एकीकृत हो जाते हैं।

क्योंकि हर finding में यही schema होता है, आप EventBridge rules और Lambda functions बना सकते हैं, जो Severity.Label या Resources.Type जैसे ASFF फ़ील्ड के आधार पर काम करें। एक ही स्वचालन कई स्रोतों से आने वाली findings पर प्रतिक्रिया दे सकता है—यही normalization का मुख्य उद्देश्य है।

ASFF फ़ील्ड मानकीकृत हैं, इसलिए आप उन पर सटीक फ़िल्टर और अंतर्दृष्टियाँ बना सकते हैं: केवल HIGH और CRITICAL findings, केवल किसी दिए गए खाते की findings, या केवल किसी संसाधन प्रकार की findings दिखाएँ। यही फ़ील्ड EventBridge event patterns को भी शक्ति देते हैं। किस ASFF फ़ील्ड में कौन-सी जानकारी होती है, यह अच्छी तरह समझने पर आप जाँच की आवश्यकता के अनुसार finding stream को ठीक तरह से विभाजित कर सकते हैं।

जहाँ BatchImportFindings नई findings जोड़ता है, वहीं BatchUpdateFindings आपको किसी finding की workflow स्थिति, गंभीरता या टिप्पणी बदलने देता है। हालांकि, यह केवल कुछ निश्चित फ़ील्ड पर लागू होता है और केवल उस खाते द्वारा किया जा सकता है जो finding का स्वामी है; मूल product के फ़ील्ड इसमें शामिल नहीं होते। यह अलगाव source data को विश्वसनीय बनाए रखता है और विश्लेषकों को triage स्थिति प्रबंधित करने देता है—यह ऐसी बारीकी है जिसकी परीक्षा में कभी-कभी जाँच की जाती है।

ASFF Security Hub का सभी findings के लिए मानकीकृत JSON schema है। प्रमुख फ़ील्ड में Id, ProductArn, AwsAccountId, Types, सामान्यीकृत Severity (लेबल और स्कोर), Resources (ARNs), Workflow/RecordState जीवनचक्र और Compliance स्थिति शामिल हैं। साझा schema एकसमान फ़िल्टरिंग और EventBridge-आधारित स्वचालन सक्षम करता है, तथा आप BatchImportFindings के माध्यम से custom findings आयात कर सकते हैं।