Format Temuan ASFF

Security Hub mengagregasikan temuan dari puluhan sumber, yang masing-masing memiliki strukturnya sendiri. Agar dapat dibandingkan, layanan ini mengubah semuanya menjadi satu skema: AWS Security Finding Format (ASFF). Memahami ASFF memungkinkan Anda membaca, memfilter, dan mengotomatiskan tindakan pada temuan apa pun, terlepas dari asalnya.

ASFF adalah struktur JSON terstandar dengan kolom yang telah ditentukan dan wajib diisi oleh setiap temuan. Karena kolomnya konsisten, Anda dapat menulis satu rangkaian aturan, filter, atau otomatisasi yang berfungsi pada temuan dari GuardDuty, Macie, Inspector, dan mitra.

Kolom utama mencakup ID yang mengidentifikasi temuan secara unik, ProductArn yang menyebutkan layanan penghasilnya, dan AwsAccountId. Kolom-kolom ini memungkinkan Anda melacak setiap temuan kembali ke akun sumber dan layanannya, yang sangat penting dalam agregasi multi-akun.

Kolom Jenis mengklasifikasikan temuan menggunakan taksonomi ruang nama, seperti kategori perangkat lunak dan konfigurasi atau perilaku tidak biasa, sedangkan Judul dan Deskripsi memberikan ringkasan yang mudah dipahami manusia. Bersama-sama, kolom ini memberi tahu analis secara sekilas tentang isi temuan.

ASFF menormalisasi tingkat keparahan ke dalam struktur yang konsisten dengan skor dan label yang dinormalisasi (seperti INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Karena tingkat keparahan dinyatakan dengan cara yang sama untuk setiap sumber, Anda dapat menentukan prioritas secara adil di antara layanan yang sebelumnya menggunakan skala berbeda.

Array Sumber Daya mencantumkan sumber daya yang terdampak beserta ARN, jenis, dan detailnya. Dengan inilah Anda mengetahui secara tepat apa yang disentuh oleh suatu temuan, yang penting untuk merutekan remediasi ke sumber daya yang benar dan memahami cakupan dampaknya.

ASFF melacak siklus hidup dengan status Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) dan RecordState (ACTIVE atau ARCHIVED). Analis memperbarui status alur kerja saat menangani sebuah temuan, sehingga antrean mencerminkan hal yang masih perlu ditangani dan hal yang sudah selesai.

Untuk temuan berbasis kontrol, ASFF menyertakan kolom Compliance yang melaporkan PASSED, FAILED, atau WARNING terhadap suatu standar. Dengan cara ini, pemeriksaan standar ditampilkan dalam format yang sama seperti temuan ancaman, sehingga data postur keamanan dan ancaman disatukan dalam satu skema.

Karena setiap temuan menggunakan skema ini, Anda dapat membuat aturan EventBridge dan fungsi Lambda yang menggunakan kolom ASFF seperti Severity.Label atau Resources.Type sebagai pemicu. Satu otomatisasi dapat merespons temuan dari banyak sumber, dan inilah tujuan utama normalisasi.

Karena kolom ASFF telah distandardisasi, Anda dapat membuat filter dan wawasan yang presisi berdasarkan kolom tersebut: hanya menampilkan temuan HIGH dan CRITICAL, hanya dari akun tertentu, atau hanya untuk jenis sumber daya tertentu. Kolom yang sama juga digunakan dalam pola kejadian EventBridge. Dengan memahami kolom ASFF yang menyimpan setiap informasi, Anda dapat membagi aliran temuan tepat sesuai kebutuhan investigasi.

Jika BatchImportFindings memasukkan temuan baru, BatchUpdateFindings memungkinkan Anda mengubah status alur kerja, tingkat keparahan, atau catatan suatu temuan, tetapi hanya pada kolom tertentu dan hanya oleh akun yang memiliki temuan tersebut, bukan kolom milik produk sumber. Pemisahan ini menjaga kepercayaan terhadap data sumber, sekaligus memungkinkan analis mengelola status triase—sebuah nuansa yang sesekali diujikan dalam ujian.

Ingat kembali tujuan ASFF.

ASFF adalah skema JSON terstandardisasi milik Security Hub untuk semua temuan. Kolom pentingnya mencakup Id, ProductArn, AwsAccountId, Types, Severity yang dinormalisasi (label dan skor), Resources (ARN), siklus hidup Workflow/RecordState, serta status Compliance. Skema bersama ini memungkinkan pemfilteran yang konsisten dan otomatisasi berbasis EventBridge, serta memungkinkan Anda mengimpor temuan khusus melalui BatchImportFindings.