O Formato de Descobertas ASFF

O Security Hub agrega descobertas de dezenas de fontes, cada uma com sua própria estrutura. Para torná-las comparáveis, ele converte tudo para um único esquema: o AWS Security Finding Format (ASFF). Entender o ASFF permite ler, filtrar e automatizar qualquer descoberta, independentemente de sua origem.

O ASFF é uma estrutura JSON padronizada, com campos definidos que toda descoberta deve preencher. Como os campos são consistentes, você pode escrever um único conjunto de regras, filtros ou automações que funcione igualmente para descobertas do GuardDuty, Macie, Inspector e parceiros.

Os principais campos incluem um Id que identifica exclusivamente a descoberta, um ProductArn que nomeia o serviço que a produziu e um AwsAccountId. Eles permitem rastrear qualquer descoberta até sua conta e seu serviço de origem, algo essencial na agregação de várias contas.

O campo Types classifica a descoberta usando uma taxonomia de namespace (como uma categoria de software e configuração ou de comportamento incomum), enquanto Title e Description fornecem resumos compreensíveis. Juntos, eles informam rapidamente ao analista do que trata a descoberta.

O ASFF normaliza a severidade em uma estrutura consistente, com uma pontuação e um rótulo normalizados (como INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Como a severidade é expressa da mesma maneira para todas as fontes, você pode priorizar de forma justa entre serviços que originalmente usavam escalas diferentes.

A matriz Resources lista os recursos afetados com seus ARNs, tipos e detalhes. É assim que você sabe exatamente o que uma descoberta afeta, algo essencial para encaminhar a correção ao recurso correto e entender o raio de impacto.

O ASFF acompanha o ciclo de vida com um status de Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) e um RecordState (ACTIVE ou ARCHIVED). Os analistas atualizam o status do fluxo de trabalho à medida que tratam uma constatação, para que a fila mostre o que ainda precisa de atenção e o que já foi concluído.

Para constatações baseadas em controles, o ASFF inclui um campo de Compliance que informa PASSED, FAILED ou WARNING em relação a um padrão. É assim que as verificações de padrões aparecem no mesmo formato que as constatações de ameaças, unificando dados de postura e de ameaças em um único esquema.

Como todas as constatações compartilham esse esquema, você pode criar regras do EventBridge e funções do Lambda que usem campos do ASFF, como Severity.Label ou Resources.Type. Uma única automação pode reagir a constatações de muitas fontes, que é justamente o objetivo da normalização.

Como os campos do ASFF são padronizados, você pode criar filtros e visões analíticas precisos com base neles: mostrar apenas constatações HIGH e CRITICAL, apenas de uma determinada conta ou apenas de um tipo de recurso. Os mesmos campos alimentam os padrões de eventos do EventBridge. Dominar qual campo do ASFF contém cada informação permite dividir o fluxo de constatações exatamente como a investigação exige.

Enquanto BatchImportFindings insere novas constatações, BatchUpdateFindings permite alterar o status do fluxo de trabalho, a severidade ou a observação de uma constatação, mas somente determinados campos e apenas pela conta proprietária da constatação, não pelos campos do produto de origem. Essa separação mantém os dados de origem confiáveis e ainda permite que os analistas gerenciem o estado da triagem — uma sutileza que o exame testa ocasionalmente.

Relembre a finalidade do ASFF.

O ASFF é o esquema JSON padronizado do Security Hub para todas as constatações. Os principais campos incluem Id, ProductArn, AwsAccountId, Types, Severity normalizada (rótulo e pontuação), Resources (ARNs), o ciclo de vida de Workflow/RecordState e o status de conformidade. O esquema compartilhado permite filtragem consistente e automação orientada pelo EventBridge, e você pode importar constatações personalizadas por meio de BatchImportFindings.