Стандарты безопасности и оценки соответствия

Агрегация результатов — лишь половина ценности Security Hub. Вторая половина — непрерывная проверка вашей учетной записи на соответствие стандартам передовых практик и расчет оценки. Это показывает не только то, что подвергло вас атаке, но и степень уязвимости вашей конфигурации изначально.

Стандарт безопасности — это отобранный набор автоматизированных средств контроля, которые проверяют ресурсы на соответствие передовым практикам. Security Hub выполняет эти проверки по расписанию и сообщает для каждого средства контроля, пройдена ли проверка, превращая расплывчатый вопрос «насколько мы защищены?» в конкретные измеримые результаты.

Security Hub предлагает такие стандарты, как AWS Foundational Security Best Practices (FSBP), эталон AWS Foundations от Center for Internet Security (CIS), а также стандарты, согласованные с PCI DSS и NIST. Каждый из них рассчитан на свою задачу: от общего усиления защиты до конкретных режимов соответствия требованиям.

Стандарт FSBP — это широкий набор собственных проверок AWS для множества служб, например «бакеты S3 должны блокировать публичный доступ» или «корневой пользователь IAM должен использовать MFA». Для большинства учетных записей это рекомендуемая отправная точка, поскольку стандарт отражает актуальные рекомендации AWS в целом.

CIS AWS Foundations Benchmark — отраслевое руководство по усилению защиты, которое поддерживает Center for Internet Security. Его включение в Security Hub проверяет учетную запись по хорошо известным согласованным средствам контроля и полезно, когда аудиторы требуют соответствия именно CIS.

Каждый стандарт состоит из отдельных средств контроля, и каждое средство сообщает состояние: проверка пройдена, не пройдена или недоступна. Непройденные проверки создают результаты, которые можно исправить. Вы можете отключить средства контроля, не применимые к вашей среде, чтобы они не искажали результаты.

Security Hub рассчитывает оценку безопасности — процент пройденных проверок от числа включенных. Более высокая оценка означает более надежное состояние безопасности. Она дает руководству простой показатель для отслеживания динамики, а список непройденных средств контроля служит инженерам перечнем задач.

Многие средства контроля пересекаются в разных стандартах. Security Hub может объединять результаты проверок, чтобы одна исходная проблема не отображалась многократно. Это сохраняет чистоту оценки и списка результатов, даже если несколько стандартов проверяют одно и то же.

Непройденные проверки — это результаты, которые необходимо исправить, часто с документированными шагами по исправлению. Вы можете направлять их через EventBridge для автоматического исправления или в систему учета заявок. По мере перехода проверок из состояния «не пройдена» в состояние «пройдена» оценка повышается, демонстрируя измеримый прогресс.

Не каждое средство контроля подходит для каждой учетной записи. Вы можете отключать отдельные средства контроля, которые не применимы к вашей среде, а некоторые средства принимают параметры в соответствии с вашей политикой, например требуемую минимальную длину пароля. Настройка средств контроля сохраняет смысл оценки безопасности: оценка, сниженная из-за нерелевантных проверок, вводила бы в заблуждение, а не помогала исправлять проблемы.

Важная зависимость: некоторые средства контроля Security Hub используют AWS Config для записи конфигурации ресурсов. Если Config не записывает соответствующие типы ресурсов, эти средства не могут выполнить оценку и могут отображаться как не содержащие данных. Поэтому полноценная программа оценки состояния безопасности включает Config вместе с Security Hub. На экзамене эту зависимость могут скрыть, ожидая, что вы знаете: Config лежит в основе многих проверок средств контроля.

Сопоставьте стандарты с потребностями.

Security Hub измеряет состояние безопасности, выполняя проверки стандартов безопасности — наборов автоматизированных средств контроля, включая FSBP AWS, эталон CIS и стандарты, согласованные с PCI DSS/NIST. Для каждого средства сообщается, пройдена проверка или нет, а затем рассчитывается оценка безопасности (процент пройденных проверок). Отключайте нерелевантные средства, объединяйте пересекающиеся и исправляйте непройденные проверки, чтобы повысить оценку.