Standar Keamanan dan Skor Kepatuhan

Mengagregasikan temuan hanyalah separuh dari manfaat Security Hub. Separuh lainnya adalah memeriksa akun Anda secara berkelanjutan berdasarkan standar praktik terbaik dan memberikan skor. Dengan demikian, Anda tidak hanya mengetahui apa yang menyerang Anda, tetapi juga seberapa terbuka konfigurasi Anda sejak awal.

Standar keamanan adalah kumpulan kontrol otomatis terpilih yang memeriksa sumber daya berdasarkan praktik terbaik. Security Hub menjalankan pemeriksaan ini sesuai jadwal dan melaporkan setiap kontrol sebagai lulus atau gagal, sehingga pertanyaan yang samar seperti "apakah kita aman?" berubah menjadi hasil yang konkret dan terukur.

Security Hub menawarkan standar termasuk Praktik Terbaik Keamanan Dasar AWS (FSBP), Center for Internet Security (CIS) AWS Foundations Benchmark, serta standar yang selaras dengan PCI DSS dan NIST. Masing-masing ditujukan untuk kebutuhan yang berbeda, mulai dari penguatan umum hingga rezim kepatuhan tertentu.

Standar FSBP adalah kumpulan pemeriksaan luas milik AWS yang mencakup banyak layanan, seperti "bucket S3 harus memblokir akses publik" atau "pengguna root IAM harus memiliki MFA". Standar ini merupakan titik awal yang disarankan untuk sebagian besar akun karena mencerminkan panduan AWS terkini secara menyeluruh.

CIS AWS Foundations Benchmark adalah panduan penguatan berstandar industri yang dikelola oleh Center for Internet Security. Mengaktifkannya di Security Hub akan memeriksa akun Anda berdasarkan kontrol konsensus yang dikenal luas, yang berguna ketika auditor secara khusus mengharapkan keselarasan dengan CIS.

Setiap standar terdiri atas kontrol individual, dan setiap kontrol melaporkan status: lulus, gagal, atau tidak tersedia. Kontrol yang gagal menghasilkan temuan yang dapat Anda perbaiki. Anda dapat menonaktifkan kontrol yang tidak berlaku untuk lingkungan Anda agar tidak memengaruhi hasil.

Security Hub menghitung skor keamanan, yaitu persentase kontrol yang lulus dari seluruh kontrol yang diaktifkan. Skor yang lebih tinggi berarti postur yang lebih kuat. Skor ini memberi pimpinan metrik sederhana untuk dilacak dari waktu ke waktu, sedangkan kontrol yang gagal memberikan daftar tugas bagi teknisi.

Banyak kontrol tumpang tindih di antara standar. Security Hub dapat mengkonsolidasikan temuan kontrol sehingga satu masalah mendasar tidak dilaporkan berkali-kali. Dengan demikian, skor dan daftar temuan tetap rapi meskipun beberapa standar memeriksa hal yang sama.

Kontrol yang gagal adalah temuan yang perlu Anda remediasi, sering kali dengan langkah remediasi yang telah didokumentasikan. Anda dapat merutekannya melalui EventBridge untuk perbaikan otomatis atau ke sistem tiket. Skor kemudian meningkat ketika kontrol berpindah dari gagal menjadi lulus, sehingga kemajuan dapat diukur.

Tidak setiap kontrol sesuai untuk setiap akun. Anda dapat menonaktifkan kontrol individual yang tidak berlaku, dan beberapa kontrol menerima parameter agar sesuai dengan kebijakan Anda, seperti panjang minimum kata sandi yang diwajibkan. Menyesuaikan kontrol membuat skor keamanan tetap bermakna, karena skor yang turun akibat pemeriksaan yang tidak relevan akan menyesatkan, bukan membantu mengarahkan remediasi.

Ketergantungan penting: beberapa kontrol Security Hub bergantung pada AWS Config untuk mencatat konfigurasi sumber daya. Jika Config tidak mencatat jenis sumber daya yang relevan, kontrol tersebut tidak dapat melakukan evaluasi dan mungkin menampilkan tidak ada data. Jadi, program postur yang lengkap mengaktifkan Config bersama Security Hub. Ujian mungkin menyembunyikan ketergantungan ini dan mengharapkan Anda mengetahui bahwa Config menjadi dasar bagi banyak pemeriksaan kontrol.

Sesuaikan standar dengan kebutuhannya.

Security Hub mengukur postur dengan menjalankan standar keamanan, yaitu kumpulan kontrol otomatis yang mencakup FSBP AWS, Tolok Ukur CIS, serta standar yang selaras dengan PCI DSS/NIST. Setiap kontrol dilaporkan sebagai lulus atau gagal dan menghasilkan skor keamanan (persentase yang lulus). Nonaktifkan kontrol yang tidak relevan, konsolidasikan kontrol yang tumpang tindih, dan remediasi kegagalan untuk meningkatkan skor.