Standard di sicurezza e punteggi di conformità

L'aggregazione dei finding rappresenta solo metà del valore di Security Hub. L'altra metà consiste nel verificare continuamente l'account rispetto agli standard delle best practice e nell'assegnare un punteggio. In questo modo non scopre soltanto che cosa lo ha attaccato, ma anche quanto la sua configurazione sia esposta fin dall'inizio.

Uno standard di sicurezza è un insieme selezionato di controlli automatizzati che verificano le risorse rispetto alle best practice. Security Hub esegue questi controlli secondo una pianificazione e segnala ogni controllo come superato o non superato, trasformando domande vaghe come "siamo al sicuro?" in risultati concreti e misurabili.

Security Hub offre standard tra cui gli AWS Foundational Security Best Practices (FSBP), il Center for Internet Security (CIS) AWS Foundations Benchmark e standard allineati a PCI DSS e NIST. Ciascuno si rivolge a un pubblico diverso, dal rafforzamento generale a specifici regimi di conformità.

Lo standard FSBP è l'ampio insieme di controlli sviluppato da AWS, che copre numerosi servizi, ad esempio "i bucket S3 devono bloccare l'accesso pubblico" o "l'utente root IAM deve avere l'MFA". È il punto di partenza consigliato per la maggior parte degli account, perché riflette le indicazioni AWS aggiornate nel loro complesso.

Il CIS AWS Foundations Benchmark è una guida al rafforzamento conforme agli standard di settore, gestita dal Center for Internet Security. Abilitandola in Security Hub, l'account viene verificato rispetto a controlli condivisi e ampiamente riconosciuti, utile quando gli auditor richiedono specificamente l'allineamento al CIS.

Ogni standard è composto da singoli controlli e ogni controllo restituisce uno stato: superato, non superato o non disponibile. I controlli non superati generano finding che è possibile correggere. È possibile disabilitare i controlli non pertinenti all'ambiente, così che non alterino i risultati.

Security Hub calcola un punteggio di sicurezza, ovvero la percentuale di controlli superati rispetto a quelli abilitati. Un punteggio più alto indica un livello di sicurezza migliore. Il punteggio offre ai responsabili un indicatore semplice da monitorare nel tempo, mentre i controlli non superati sottostanti forniscono agli ingegneri l'elenco delle attività da svolgere.

Molti controlli si sovrappongono tra gli standard. Security Hub può consolidare i finding dei controlli, così che uno stesso problema sottostante non venga segnalato più volte. In questo modo il punteggio e l'elenco dei finding restano ordinati anche quando più standard verificano lo stesso aspetto.

I controlli non superati sono finding da correggere, spesso seguendo procedure di correzione documentate. È possibile instradarli tramite EventBridge per applicare correzioni automatizzate oppure verso un sistema di gestione dei ticket. Il punteggio migliora quando i controlli passano da non superati a superati, mostrando progressi misurabili.

Non tutti i controlli sono adatti a ogni account. È possibile disabilitare singoli controlli non pertinenti e alcuni controlli accettano parametri per adattarsi ai criteri adottati, come la lunghezza minima richiesta per le password. Ottimizzare i controlli mantiene significativo il punteggio di sicurezza, perché un punteggio ridotto da verifiche irrilevanti sarebbe fuorviante anziché utile per guidare la correzione.

Una dipendenza importante è che alcuni controlli di Security Hub si basano sulla registrazione, da parte di AWS Config, della configurazione delle risorse. Se Config non registra i tipi di risorsa pertinenti, tali controlli non possono eseguire la valutazione e potrebbero mostrare l'assenza di dati. Pertanto, un programma completo per la valutazione del livello di sicurezza abilita Config insieme a Security Hub. L'esame potrebbe nascondere questa dipendenza, aspettandosi che sappia che Config costituisce la base di molti controlli.

Abbini gli standard alle esigenze.

Security Hub misura il livello di sicurezza eseguendo standard di sicurezza, ovvero insiemi di controlli automatizzati, tra cui gli FSBP di AWS, il Benchmark CIS e standard allineati a PCI DSS/NIST. Ogni controllo restituisce superato o non superato, producendo un punteggio di sicurezza (percentuale di controlli superati). Disabiliti i controlli irrilevanti, consolidi quelli sovrapposti e corregga gli errori per aumentare il punteggio.