Padrões de Segurança e Pontuações de Conformidade

Agregar descobertas representa metade do valor do Security Hub. A outra metade é verificar continuamente sua conta em relação a padrões de melhores práticas e fornecer uma pontuação. Isso informa não apenas o que atacou você, mas também o quanto sua configuração está exposta desde o início.

Um padrão de segurança é um conjunto selecionado de controles automatizados que verificam os recursos em relação às melhores práticas. O Security Hub executa essas verificações conforme uma programação e informa cada controle como aprovado ou reprovado, transformando perguntas vagas como "estamos seguros?" em resultados concretos e mensuráveis.

O Security Hub oferece padrões que incluem o AWS Foundational Security Best Practices (FSBP), o Center for Internet Security (CIS) AWS Foundations Benchmark e padrões alinhados ao PCI DSS e ao NIST. Cada um atende a um público diferente, desde o fortalecimento geral até regimes específicos de conformidade.

O padrão FSBP é o amplo conjunto de verificações da AWS que abrange muitos serviços, como "os buckets S3 devem bloquear o acesso público" ou "o usuário raiz do IAM deve ter MFA". Ele é o ponto de partida recomendado para a maioria das contas, pois reflete as orientações atuais da AWS de forma abrangente.

O CIS AWS Foundations Benchmark é um guia de fortalecimento reconhecido pelo setor, mantido pelo Center for Internet Security. Habilitá-lo no Security Hub verifica sua conta em relação a controles de consenso amplamente conhecidos, o que é útil quando os auditores esperam especificamente alinhamento ao CIS.

Cada padrão é composto por controles individuais, e cada controle informa um status: aprovado, reprovado ou indisponível. Os controles reprovados geram descobertas que você pode corrigir. Você pode desabilitar controles que não se aplicam ao seu ambiente para que não distorçam os resultados.

O Security Hub calcula uma pontuação de segurança, que é a porcentagem de controles aprovados entre os controles habilitados. Uma pontuação mais alta significa uma postura mais forte. A pontuação fornece à liderança uma métrica simples para acompanhar ao longo do tempo, enquanto os controles reprovados subjacentes fornecem aos engenheiros a lista de tarefas.

Muitos controles se sobrepõem entre os padrões. O Security Hub pode consolidar as descobertas de controles para que um único problema subjacente não seja relatado várias vezes. Isso mantém a pontuação e a lista de descobertas organizadas, mesmo quando vários padrões verificam a mesma coisa.

Controles reprovados são descobertas que você corrige, geralmente seguindo etapas de correção documentadas. Você pode encaminhá-los pelo EventBridge para correções automatizadas ou para um sistema de tickets. A pontuação melhora à medida que os controles passam de reprovados para aprovados, fornecendo um progresso mensurável.

Nem todo controle se aplica a todas as contas. Você pode desabilitar controles individuais que não se aplicam, e alguns controles aceitam parâmetros para corresponder à sua política, como o comprimento mínimo exigido da senha. Ajustar os controles mantém a pontuação de segurança significativa, pois uma pontuação reduzida por verificações irrelevantes induziria ao erro em vez de orientar a correção.

Uma dependência importante: alguns controles do Security Hub dependem do AWS Config para registrar a configuração dos recursos. Se o Config não estiver registrando os tipos de recursos relevantes, esses controles não poderão ser avaliados e talvez apareçam como sem dados. Portanto, um programa completo de postura habilita o Config junto com o Security Hub. O exame pode ocultar essa dependência, esperando que você saiba que o Config sustenta muitas verificações de controle.

Associe os padrões às necessidades.

O Security Hub mede a postura executando padrões de segurança, conjuntos de controles automatizados que incluem o FSBP da AWS, o Benchmark CIS e padrões alinhados ao PCI DSS/NIST. Cada controle informa se foi aprovado ou reprovado, produzindo uma pontuação de segurança (percentual de aprovação). Desabilite controles irrelevantes, consolide os que se sobrepõem e corrija as falhas para aumentar a pontuação.