Format Penemuan ASFF

Security Hub mengagregatkan penemuan daripada berpuluh-puluh sumber, yang masing-masing mempunyai strukturnya sendiri. Untuk menjadikannya boleh dibandingkan, perkhidmatan ini menukarkan semuanya kepada satu skema: Format Penemuan Keselamatan AWS (ASFF). Memahami ASFF membolehkan anda membaca, menapis dan mengautomatikkan sebarang penemuan tanpa mengira asalnya.

ASFF ialah struktur JSON piawai dengan medan yang ditakrifkan dan mesti diisi oleh setiap penemuan. Oleh sebab medannya konsisten, anda boleh menulis satu set peraturan, penapis atau automasi yang berfungsi merentas penemuan GuardDuty, Macie, Inspector dan rakan kongsi.

Medan utama termasuk Id yang mengenal pasti penemuan secara unik, ProductArn yang menamakan perkhidmatan yang menghasilkannya, serta AwsAccountId. Medan ini membolehkan anda menjejaki mana-mana penemuan kembali kepada akaun dan perkhidmatan sumbernya, yang penting dalam pengagregatan berbilang akaun.

Medan Types mengelaskan penemuan menggunakan taksonomi ruang nama, seperti kategori perisian dan konfigurasi atau tingkah laku luar biasa, manakala Title dan Description memberikan ringkasan yang mudah difahami manusia. Secara bersama, medan ini memberitahu penganalisis dengan pantas perkara yang berkaitan dengan penemuan tersebut.

ASFF menormalkan tahap keterukan kepada struktur konsisten dengan skor dan label yang dinormalkan (seperti INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Oleh sebab tahap keterukan dinyatakan dengan cara yang sama untuk setiap sumber, anda boleh menentukan keutamaan secara adil merentas perkhidmatan yang asalnya menggunakan skala berbeza.

Tatasusunan Resources menyenaraikan sumber yang terjejas berserta ARN, jenis dan butirannya. Dengan cara inilah anda mengetahui perkara tepat yang disentuh oleh sesuatu penemuan, yang penting untuk menghalakan pemulihan kepada sumber yang betul dan memahami jejari kesan.

ASFF menjejaki kitar hayat dengan status Aliran kerja (NEW, NOTIFIED, RESOLVED, SUPPRESSED) dan RecordState (ACTIVE atau ARCHIVED). Penganalisis mengemas kini status aliran kerja semasa mengendalikan penemuan, supaya baris gilir menunjukkan perkara yang masih memerlukan perhatian berbanding perkara yang telah selesai.

Bagi penemuan berasaskan kawalan, ASFF menyertakan medan Pematuhan yang melaporkan PASSED, FAILED atau WARNING terhadap sesuatu piawaian. Dengan cara ini, semakan piawaian dipaparkan dalam format yang sama seperti penemuan ancaman, lalu menyatukan data postur dan ancaman dalam satu skema.

Oleh sebab setiap penemuan berkongsi skema ini, anda boleh membina peraturan EventBridge dan fungsi Lambda yang bergantung pada medan ASFF seperti Severity.Label atau Resources.Type. Satu automasi boleh bertindak balas terhadap penemuan daripada banyak sumber, dan itulah tujuan utama penormalan.

Oleh sebab medan ASFF diseragamkan, anda boleh membina penapis dan cerapan yang tepat berdasarkannya: hanya memaparkan penemuan HIGH dan CRITICAL, hanya akaun tertentu, atau hanya jenis sumber tertentu. Medan yang sama menggerakkan corak peristiwa EventBridge. Dengan menguasai medan ASFF yang menyimpan setiap maklumat, anda boleh mengasingkan aliran penemuan tepat seperti yang diperlukan oleh penyiasatan.

Jika BatchImportFindings memasukkan penemuan baharu, BatchUpdateFindings membolehkan anda mengubah status aliran kerja, tahap keterukan atau nota sesuatu penemuan, tetapi hanya medan tertentu dan hanya oleh akaun yang memiliki penemuan tersebut, bukannya medan produk asal. Pengasingan ini memastikan data sumber kekal boleh dipercayai, sambil membolehkan penganalisis mengurus keadaan triage; ini ialah perincian yang kadangkala diuji dalam peperiksaan.

ASFF ialah skema JSON piawai Security Hub untuk semua penemuan. Medan utama termasuk Id, ProductArn, AwsAccountId, Types, Severity yang dinormalkan (label dan skor), Resources (ARN), kitar hayat Workflow/RecordState serta status Compliance. Skema yang dikongsi membolehkan penapisan yang konsisten dan automasi dipacu EventBridge, dan anda boleh mengimport penemuan tersuai melalui BatchImportFindings.