Hva Security Hub samler inn

Når De legger til flere sikkerhetstjenester, hoper varslene seg opp i mange konsoller. AWS Security Hub løser dette ved å fungere som en sentral aggregator: Den samler funn fra mange AWS-sikkerhetstjenester og partnerverktøy i én visning. I stedet for å kontrollere hver tjeneste separat kan De prioritere og behandle funnene på ett sted.

Security Hub tar inn funn fra tjenester som GuardDuty, Macie, Inspector, IAM Access Analyzer og Firewall Manager, i tillegg til tredjepartsprodukter. Den kjører også egne automatiserte sikkerhetskontroller. Resultatet er én samlet liste over alt som er galt på tvers av kontoen.

Ulike tjenester beskriver funn på forskjellige måter. Security Hub konverterer dem alle til én standardisert struktur, AWS Security Finding Format (ASFF), slik at hvert funn ser likt ut uansett kilde. Det er denne standardiseringen som gjør én samlet visning mulig.

Security Hub er ikke bare en innsamler; den evaluerer aktivt kontoen Deres opp mot sikkerhetsstandarder ved hjelp av automatiserte kontroller. Disse kontrollene oppretter egne funn om feilkonfigurasjoner, slik at De får både innkommende varsler og en kontinuerlig vurdering av sikkerhetsstillingen i én tjeneste.

Fordi funn er regionale, tilbyr Security Hub en funksjon for aggregering på tvers av regioner som samler funn fra mange regioner i én aggregeringsregion. Dette gir sikkerhetsteamet én samlet visning av hele miljøet, i stedet for separate siloer per region.

I likhet med GuardDuty støtter Security Hub en delegert administrator og integrasjon med AWS Organizations. Én sikkerhetskonto kan aggregere funn fra alle medlemskontoer, med automatisk aktivering for nye kontoer. Dette kan kombineres med aggregering på tvers av regioner for oversikt over hele organisasjonen.

Ved å fjerne duplikater og standardisere funn reduserer Security Hub støyen og hjelper analytikere med å se det faktiske bildet. Relaterte funn kan grupperes, og en konsekvent alvorlighetsgrad gjør det enklere å prioritere på tvers av kilder. Målet er færre, tydeligere og mer handlingsrettede varsler.

Security Hub integreres med EventBridge, slik at aggregerte funn kan utløse automatiserte svar eller videresendes til verktøy for saksbehandling og chat. Dermed blir den sentrale huben startpunktet for arbeidsflyter for håndtering, ikke bare et instrumentbord.

Tenk på flyten som oppdag, aggreger, undersøk og håndter. GuardDuty og andre tjenester oppdager; Security Hub aggregerer og gir poeng; Detective undersøker; EventBridge og Lambda håndterer. Security Hub er nervesystemet som kobler deteksjon til handling.

Funnene som Security Hub aggregerer, dekker flere kategorier: trusseldeteksjoner fra GuardDuty, oppdagelser av sensitive data fra Macie, sårbarhetsfunn fra Inspector og tilgangsfunn fra IAM Access Analyzer. Det er samlingen av trusler, sårbarheter, datarisikoer og tilgangsrisikoer på ett sted som gjør Security Hub til en virkelig samlet visning av sikkerhetsstillingen.

For å hente inn funn fra en tjeneste må tjenesten være aktivert og integrert med Security Hub. Mange AWS-kilder integreres automatisk når De aktiverer Security Hub; partnerprodukter integreres via integrasjonssiden. En vanlig mangel er å forvente funn fra en kilde som aldri ble aktivert. Derfor er det viktig å bekrefte aktive integrasjoner når aggregeringen settes opp.

Security Hub sentraliserer og standardiserer funn fra GuardDuty, Macie, Inspector, Access Analyzer og partnere i formatet ASFF, samtidig som den kjører kontroller av sikkerhetsstillingen opp mot standarder. Den støtter aggregering på tvers av regioner og kontoer (med delegert administrator) og sender data til EventBridge for håndtering. Dermed fungerer den som én samlet visning av sikkerhetsfunn.