Формат результатов ASFF

Security Hub агрегирует результаты из десятков источников, каждый из которых использует собственную структуру. Чтобы сделать их сопоставимыми, он преобразует все данные в одну схему: AWS Security Finding Format (ASFF). Понимание ASFF позволяет читать, фильтровать и автоматизировать обработку любого результата независимо от его источника.

ASFF — это стандартизированная структура JSON с определенными полями, которые должен заполнять каждый результат. Благодаря единообразию полей можно создавать один набор правил, фильтров или средств автоматизации для результатов GuardDuty, Macie, Inspector и партнерских продуктов.

Ключевые поля включают Id, однозначно идентифицирующее результат, ProductArn, указывающее создавшую его службу, и AwsAccountId. Они позволяют отследить любой результат до исходной учетной записи и службы, что особенно важно при агрегации нескольких учетных записей.

Поле Types классифицирует результат с помощью таксономии пространств имен (например, категории программного обеспечения и конфигурации или необычного поведения), а поля Title и Description содержат понятные человеку краткие описания. Вместе они позволяют аналитику сразу понять, о чем этот результат.

ASFF нормализует серьезность в единой структуре с помощью нормализованной оценки и метки (например, INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Поскольку серьезность выражается одинаково для каждого источника, можно объективно расставлять приоритеты между службами, изначально использовавшими разные шкалы.

Массив Resources содержит затронутые ресурсы, их ARN, типы и сведения о них. Благодаря этому вы точно знаете, чего касается результат, что необходимо для направления исправления к нужному ресурсу и понимания масштаба воздействия.

ASFF отслеживает жизненный цикл с помощью статуса Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) и поля RecordState (ACTIVE или ARCHIVED). Аналитики обновляют статус рабочего процесса по мере обработки обнаружения, поэтому очередь показывает, чему ещё нужно уделить внимание, а что уже завершено.

Для обнаружений на основе средств контроля ASFF содержит поле Compliance, в котором указывается PASSED, FAILED или WARNING для определённого стандарта. Благодаря этому результаты стандартных проверок представляются в том же формате, что и обнаружения угроз, объединяя данные о состоянии безопасности и угрозах в одной схеме.

Поскольку все обнаружения используют одну схему, Вы можете создавать правила EventBridge и функции Lambda, которые реагируют на такие поля ASFF, как Severity.Label или Resources.Type. Одна автоматизация может обрабатывать обнаружения из множества источников — в этом и заключается смысл нормализации.

Поскольку поля ASFF стандартизированы, Вы можете создавать по ним точные фильтры и аналитические представления: показывать только обнаружения с уровнем HIGH и CRITICAL, только данные определённой учётной записи или только определённый тип ресурса. Эти же поля используются в шаблонах событий EventBridge. Если Вы знаете, в каком поле ASFF хранится нужная информация, то сможете разделить поток обнаружений именно так, как требуется для расследования.

Если BatchImportFindings добавляет новые обнаружения, то BatchUpdateFindings позволяет изменить статус рабочего процесса, уровень серьёзности или примечание обнаружения, но только в определённых полях и только учётной записью, которой принадлежит обнаружение, а не полями исходного продукта. Такое разделение сохраняет достоверность данных источника и одновременно позволяет аналитикам управлять состоянием сортировки и обработки — это нюанс, который иногда проверяется на экзамене.

Вспомните назначение ASFF.

ASFF — стандартизированная JSON-схема Security Hub для всех обнаружений. Ключевые поля включают Id, ProductArn, AwsAccountId, Types, нормализованный показатель Severity (метка и числовая оценка), Resources (ARN), жизненный цикл Workflow/RecordState и статус Compliance. Общая схема обеспечивает единообразную фильтрацию и автоматизацию на основе EventBridge, а пользовательские обнаружения можно импортировать с помощью BatchImportFindings.