Standardy bezpieczeństwa i wyniki zgodności

Agregowanie ustaleń to połowa wartości Security Hub. Drugą połowę stanowi ciągłe sprawdzanie konta względem standardów najlepszych praktyk i wyznaczanie wyniku. Dzięki temu wiadomo nie tylko, co zaatakowało konto, lecz także w jakim stopniu jego konfiguracja jest narażona na zagrożenia.

Standard bezpieczeństwa to wybrany zestaw automatycznych kontroli, które sprawdzają zasoby pod kątem najlepszych praktyk. Security Hub uruchamia te kontrole zgodnie z harmonogramem i oznacza każdą z nich jako zakończoną powodzeniem lub niepowodzeniem, zamieniając ogólne pytanie „czy jesteśmy bezpieczni?” na konkretne, mierzalne wyniki.

Security Hub oferuje między innymi standard AWS Foundational Security Best Practices (FSBP), test porównawczy Center for Internet Security (CIS) AWS Foundations Benchmark oraz standardy zgodne z PCI DSS i NIST. Każdy z nich jest przeznaczony dla innej grupy odbiorców — od ogólnego wzmacniania zabezpieczeń po konkretne wymagania zgodności.

Standard FSBP to szeroki, opracowany przez AWS zestaw kontroli obejmujący wiele usług, takich jak „zasobniki S3 powinny blokować dostęp publiczny” czy „użytkownik root IAM powinien mieć włączone MFA”. Jest zalecanym punktem wyjścia dla większości kont, ponieważ odzwierciedla aktualne wytyczne AWS w wielu obszarach.

CIS AWS Foundations Benchmark to opracowany przez Center for Internet Security branżowy przewodnik po wzmacnianiu zabezpieczeń. Włączenie go w Security Hub powoduje sprawdzanie konta względem powszechnie uznanych kontroli, co jest przydatne, gdy audytorzy oczekują zgodności konkretnie z CIS.

Każdy standard składa się z pojedynczych kontroli, a każda kontrola ma status: zakończona powodzeniem, zakończona niepowodzeniem albo niedostępna. Kontrole zakończone niepowodzeniem generują ustalenia, które można naprawić. Kontrole niepasujące do danego środowiska można wyłączyć, aby nie zniekształcały wyników.

Security Hub oblicza wynik bezpieczeństwa, czyli odsetek zakończonych powodzeniem kontroli spośród wszystkich włączonych kontroli. Wyższy wynik oznacza lepszy stan bezpieczeństwa. Wynik zapewnia kadrze zarządzającej prostą miarę do śledzenia w czasie, a szczegółowa lista kontroli zakończonych niepowodzeniem daje inżynierom listę zadań.

Wiele kontroli pokrywa się między standardami. Security Hub może konsolidować ustalenia kontroli, aby pojedynczy problem leżący u ich podstaw nie był zgłaszany wielokrotnie. Dzięki temu wynik i lista ustaleń pozostają przejrzyste, nawet gdy kilka standardów sprawdza tę samą kwestię.

Kontrole zakończone niepowodzeniem tworzą ustalenia, które należy naprawić, często korzystając z udokumentowanych kroków naprawczych. Można przekazywać je przez EventBridge do automatycznych działań naprawczych albo systemu obsługi zgłoszeń. Wynik poprawia się, gdy kontrole zmieniają status z zakończonych niepowodzeniem na zakończone powodzeniem, zapewniając mierzalny postęp.

Nie każda kontrola pasuje do każdego konta. Można wyłączyć pojedyncze kontrole, które nie mają zastosowania, a niektóre kontrole przyjmują parametry dopasowujące je do zasad, na przykład wymaganej minimalnej długości hasła. Dostrajanie kontroli sprawia, że wynik bezpieczeństwa pozostaje miarodajny, ponieważ wynik obniżony przez nieistotne kontrole wprowadzałby w błąd zamiast pomagać w naprawie problemów.

Ważna zależność: niektóre kontrole Security Hub wymagają, aby AWS Config rejestrował konfigurację zasobów. Jeśli Config nie rejestruje odpowiednich typów zasobów, te kontrole nie mogą przeprowadzić oceny i mogą wyświetlać brak danych. Dlatego kompletny program oceny stanu bezpieczeństwa włącza Config razem z Security Hub. Na egzaminie ta zależność może być ukryta — należy wiedzieć, że Config stanowi podstawę wielu kontroli.

Security Hub mierzy stan bezpieczeństwa, uruchamiając standardy bezpieczeństwa, czyli zestawy automatycznych kontroli, w tym AWS FSBP, test porównawczy CIS oraz standardy zgodne z PCI DSS/NIST. Każda kontrola otrzymuje status zakończonej powodzeniem lub niepowodzeniem, co daje wynik bezpieczeństwa (odsetek kontroli zakończonych powodzeniem). Należy wyłączyć nieistotne kontrole, konsolidować nakładające się kontrole i naprawiać niepowodzenia, aby podnieść wynik.