Что объединяет Security Hub

По мере добавления служб безопасности оповещения накапливаются во множестве консолей. AWS Security Hub решает эту проблему, выступая в роли центрального агрегатора: он собирает результаты из множества служб безопасности AWS и партнерских инструментов в одном представлении. Вместо проверки каждой службы вы проводите первичный анализ в одном месте.

Security Hub получает результаты от таких служб, как GuardDuty, Macie, Inspector, IAM Access Analyzer и Firewall Manager, а также от сторонних продуктов. Кроме того, он выполняет собственные автоматизированные проверки безопасности. В результате вы получаете единый список всех проблем в учетной записи.

Разные службы описывают результаты по-разному. Security Hub преобразует их в единую стандартную структуру — AWS Security Finding Format (ASFF), поэтому каждый результат выглядит одинаково независимо от источника. Именно такая нормализация делает возможным единое представление.

Security Hub не просто собирает результаты: он активно оценивает вашу учетную запись на соответствие стандартам безопасности с помощью автоматизированных проверок. Эти проверки создают собственные результаты о неправильных настройках, объединяя в одной службе входящие оповещения и непрерывную оценку состояния безопасности.

Поскольку результаты относятся к регионам, Security Hub предлагает функцию агрегации между регионами, которая объединяет результаты из множества регионов в одном регионе агрегации. Благодаря этому команда безопасности получает единое представление обо всей инфраструктуре, а не отдельные изолированные представления для каждого региона.

Как и GuardDuty, Security Hub поддерживает делегированного администратора и интеграцию с AWS Organizations. Одна учетная запись безопасности может собирать результаты из каждой учетной записи-участника, автоматически включая новые учетные записи. Это объединяется с агрегацией между регионами и дает видимость на уровне всей организации.

Удаляя дубликаты и нормализуя данные, Security Hub уменьшает шум и помогает аналитикам видеть реальную картину. Связанные результаты можно группировать, а единообразная оценка серьезности делает расстановку приоритетов между источниками объективной. Цель — получать меньше, более понятных и более пригодных для действий оповещений.

Security Hub интегрируется с EventBridge, поэтому агрегированные результаты могут запускать автоматические действия либо передаваться в инструменты для учета заявок и чатов. Так центральный узел становится отправной точкой рабочих процессов реагирования, а не просто панелью мониторинга.

Представляйте поток так: обнаружение, агрегация, расследование, реагирование. GuardDuty и другие службы обнаруживают угрозы; Security Hub агрегирует результаты и выставляет оценки; Detective проводит расследование; EventBridge и Lambda реагируют. Security Hub — это центральная нервная система, связывающая обнаружение с действием.

Результаты, которые агрегирует Security Hub, охватывают разные категории: обнаружения угроз от GuardDuty, обнаружения конфиденциальных данных от Macie, результаты поиска уязвимостей от Inspector и результаты проверки доступа от IAM Access Analyzer. Объединение угроз, уязвимостей, рисков для данных и рисков доступа в одном месте превращает Security Hub в единое представление состояния безопасности.

Чтобы получать результаты службы, эту службу необходимо включить и интегрировать с Security Hub. Многие источники AWS интегрируются автоматически после включения Security Hub; партнерские продукты подключаются через страницу интеграций. Распространенная проблема — ожидать результаты от источника, который никогда не был включен, поэтому проверка активных интеграций входит в любую настройку агрегации.

Выберите службу агрегации.

Security Hub централизует и нормализует результаты GuardDuty, Macie, Inspector, Access Analyzer и партнерских продуктов в формате ASFF, а также выполняет проверки состояния безопасности на соответствие стандартам. Он поддерживает агрегацию между регионами и учетными записями (с делегированным администратором) и передает данные в EventBridge для реагирования, выступая единым представлением результатов безопасности.