Il formato dei finding ASFF

Security Hub aggrega i finding provenienti da decine di origini, ciascuna con una propria struttura. Per renderli confrontabili, converte tutto in uno schema unico: l'AWS Security Finding Format (ASFF). Comprendere ASFF consente di leggere, filtrare e automatizzare qualsiasi finding, indipendentemente dalla sua origine.

ASFF è una struttura JSON standardizzata con campi definiti che ogni finding deve valorizzare. Poiché i campi sono coerenti, è possibile scrivere un unico insieme di regole, filtri o automazioni valido per i finding di GuardDuty, Macie, Inspector e dei partner.

Tra i campi principali figurano Id, che identifica in modo univoco il finding, ProductArn, che indica il servizio che lo ha prodotto, e AwsAccountId. Questi campi consentono di risalire dall'origine di qualsiasi finding all'account e al servizio di provenienza, aspetto essenziale nell'aggregazione multi-account.

Il campo Types classifica il finding utilizzando una tassonomia basata su namespace (ad esempio una categoria relativa a software e configurazione oppure a comportamenti insoliti), mentre Title e Description forniscono riepiloghi leggibili. Insieme, consentono all'analista di capire immediatamente l'argomento del finding.

ASFF normalizza la gravità in una struttura coerente con un punteggio e un'etichetta normalizzati (come INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Poiché la gravità viene espressa nello stesso modo per ogni origine, è possibile definire le priorità in modo equo tra servizi che in origine utilizzavano scale diverse.

L'array Resources elenca le risorse interessate con i relativi ARN, tipi e dettagli. In questo modo è possibile sapere esattamente quali risorse sono coinvolte in un finding, aspetto essenziale per indirizzare la correzione alla risorsa giusta e comprendere l'entità dell'impatto.

ASFF tiene traccia del ciclo di vita tramite uno stato di Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) e un RecordState (ACTIVE o ARCHIVED). Gli analisti aggiornano lo stato del workflow mentre gestiscono un finding, così la coda mostra ciò che richiede ancora attenzione e ciò che è stato completato.

Per i finding basati su controlli, ASFF include un campo Compliance che indica PASSED, FAILED o WARNING rispetto a uno standard. In questo modo i controlli sugli standard vengono presentati nello stesso formato dei finding relativi alle minacce, unificando i dati relativi al livello di sicurezza e alle minacce in un unico schema.

Poiché ogni finding condivide questo schema, è possibile creare regole EventBridge e funzioni Lambda che utilizzano campi ASFF come Severity.Label o Resources.Type. Una singola automazione può reagire ai finding provenienti da molte fonti: è proprio questo lo scopo della normalizzazione.

Poiché i campi ASFF sono standardizzati, è possibile creare filtri e insight precisi: mostrare solo i finding HIGH e CRITICAL, solo quelli di un determinato account o solo quelli relativi a un tipo di risorsa. Gli stessi campi alimentano i pattern degli eventi EventBridge. Sapere quale campo ASFF contiene ogni informazione consente di suddividere il flusso dei finding esattamente secondo le esigenze dell'indagine.

Mentre BatchImportFindings inserisce nuovi finding, BatchUpdateFindings consente di modificare lo stato del workflow, la gravità o una nota di un finding, ma solo per determinati campi e soltanto dall'account proprietario del finding, non dai campi del prodotto di origine. Questa separazione mantiene affidabili i dati della fonte e consente comunque agli analisti di gestire lo stato del triage: una distinzione che l'esame verifica occasionalmente.

Ricordi lo scopo di ASFF?

ASFF è lo schema JSON standardizzato di Security Hub per tutti i finding. I campi principali includono Id, ProductArn, AwsAccountId, Types, Severity normalizzato (etichetta e punteggio), Resources (ARN), il ciclo di vita di Workflow/RecordState e lo stato di Compliance. Lo schema condiviso consente di applicare filtri coerenti e di creare automazioni basate su EventBridge; inoltre, è possibile importare finding personalizzati tramite BatchImportFindings.