Format ustaleń ASFF

Security Hub agreguje ustalenia z dziesiątek źródeł, z których każde ma własną strukturę. Aby można je było porównywać, konwertuje wszystko do jednego schematu: AWS Security Finding Format (ASFF). Zrozumienie ASFF umożliwia odczytywanie, filtrowanie i automatyzowanie obsługi dowolnych ustaleń, niezależnie od ich źródła.

ASFF to ustandaryzowana struktura JSON ze zdefiniowanymi polami, które każde ustalenie musi wypełniać. Dzięki spójnym polom można napisać jeden zestaw reguł, filtrów lub automatyzacji działający tak samo dla ustaleń z GuardDuty, Macie, Inspector i usług partnerów.

Najważniejsze pola obejmują Id, które jednoznacznie identyfikuje ustalenie, ProductArn zawierające nazwę usługi, która je wygenerowała, oraz AwsAccountId. Umożliwiają one prześledzenie dowolnego ustalenia do jego konta źródłowego i usługi, co ma kluczowe znaczenie przy agregacji wielu kont.

Pole Types klasyfikuje ustalenie za pomocą taksonomii opartej na przestrzeni nazw, na przykład kategorii związanej z oprogramowaniem i konfiguracją albo nietypowym zachowaniem, natomiast pola Title i Description zawierają podsumowania zrozumiałe dla człowieka. Razem pozwalają analitykowi od razu zrozumieć, czego dotyczy ustalenie.

ASFF normalizuje ważność do spójnej struktury zawierającej znormalizowany wynik i etykietę (na przykład INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Ponieważ ważność jest wyrażana tak samo dla każdego źródła, można uczciwie ustalać priorytety w usługach, które pierwotnie stosowały różne skale.

Tablica Resources zawiera listę zasobów, których dotyczy problem, wraz z ich identyfikatorami ARN, typami i szczegółami. Dzięki temu można dokładnie określić, czego dotyczy ustalenie, co ma kluczowe znaczenie przy kierowaniu działań naprawczych do właściwego zasobu i ocenie zasięgu skutków.

ASFF śledzi cykl życia za pomocą statusu Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) oraz stanu RecordState (ACTIVE lub ARCHIVED). Analitycy aktualizują status workflow w miarę obsługi findingu, dzięki czemu kolejka pokazuje, które elementy nadal wymagają uwagi, a które zostały już zakończone.

W przypadku findingów opartych na kontrolach ASFF zawiera pole Compliance, które informuje, czy dana kontrola zgodna ze standardem zakończyła się statusem PASSED, FAILED czy WARNING. Dzięki temu wyniki kontroli standardów są prezentowane w tym samym formacie co findingi dotyczące zagrożeń, co ujednolica dane o stanie zabezpieczeń i zagrożeniach w jednym schemacie.

Ponieważ każdy finding korzysta z tego samego schematu, mogą Państwo tworzyć reguły EventBridge i funkcje Lambda, które reagują na pola ASFF, takie jak Severity.Label czy Resources.Type. Jedna automatyzacja może reagować na findingi z wielu źródeł — właśnie na tym polega normalizacja.

Ponieważ pola ASFF są ustandaryzowane, mogą Państwo tworzyć na ich podstawie precyzyjne filtry i insights: wyświetlać tylko findingi o poziomie HIGH i CRITICAL, tylko z określonego konta albo tylko dotyczące danego typu zasobu. Te same pola służą do definiowania wzorców zdarzeń EventBridge. Opanowanie tego, które pole ASFF zawiera daną informację, pozwala analizować strumień findingów dokładnie tak, jak wymaga tego dochodzenie.

Podczas gdy BatchImportFindings wprowadza nowe findingi, BatchUpdateFindings pozwala zmienić status workflow, poziom ważności lub notatkę findingu, ale tylko w zakresie określonych pól i wyłącznie przez konto będące właścicielem findingu — nie przez pola produktu źródłowego. Taki podział chroni wiarygodność danych źródłowych, a jednocześnie pozwala analitykom zarządzać stanem triage. To niuans, który czasami pojawia się na egzaminie.

Przypomnij sobie przeznaczenie ASFF.

ASFF to ustandaryzowany schemat JSON usługi Security Hub, używany dla wszystkich findingów. Najważniejsze pola to Id, ProductArn, AwsAccountId, Types, znormalizowane Severity (etykieta i wynik), Resources (ARN-y), cykl życia Workflow/RecordState oraz status Compliance. Wspólny schemat umożliwia spójne filtrowanie i automatyzację opartą na EventBridge, a własne findingi można importować za pomocą BatchImportFindings.