Säkerhetsstandarder och efterlevnadspoäng

Att aggregera resultat är bara halva värdet med Security Hub. Den andra halvan är att kontinuerligt kontrollera ert konto mot standarder för bästa praxis och ge er ett poängtal. Det visar inte bara vad som angrep er, utan även hur exponerad er konfiguration är från början.

En säkerhetsstandard är en utvald uppsättning automatiserade kontroller som granskar resurser mot bästa praxis. Security Hub kör dessa kontroller enligt ett schema och rapporterar varje kontroll som godkänd eller underkänd, vilket omvandlar vaga frågor som ”är vi säkra?” till konkreta och mätbara resultat.

Security Hub erbjuder bland annat AWS Foundational Security Best Practices (FSBP), Center for Internet Security (CIS) AWS Foundations Benchmark samt standarder som är anpassade till PCI DSS och NIST. Varje standard riktar sig till en viss målgrupp, från allmän härdning till specifika efterlevnadsregelverk.

Standarden FSBP är AWS:s egen breda uppsättning kontroller som omfattar många tjänster, till exempel ”S3-buckets ska blockera offentlig åtkomst” eller ”IAM-root-användaren ska ha MFA”. Det är den rekommenderade startpunkten för de flesta konton eftersom den återspeglar aktuell AWS-vägledning på bred front.

CIS AWS Foundations Benchmark är en branschstandard för härdning som underhålls av Center for Internet Security. När ni aktiverar den i Security Hub kontrolleras ert konto mot välkända kontrollåtgärder med bred samsyn, vilket är användbart när revisorer specifikt förväntar sig anpassning till CIS.

Varje standard består av enskilda kontroller, och varje kontroll rapporterar en status: godkänd, underkänd eller inte tillgänglig. Underkända kontroller skapar resultat som ni kan åtgärda. Ni kan inaktivera kontroller som inte gäller er miljö, så att de inte snedvrider resultaten.

Security Hub beräknar en säkerhetspoäng, det vill säga andelen godkända kontroller av de aktiverade kontrollerna. En högre poäng innebär ett starkare säkerhetsläge. Poängen ger ledningen ett enkelt mått att följa över tid, medan de underliggande underkända kontrollerna ger teknikerna en att-göra-lista.

Många kontroller överlappar mellan standarder. Security Hub kan konsolidera kontrollresultat så att ett enda underliggande problem inte rapporteras flera gånger. Då hålls både poängen och resultatlistan rena även när flera standarder kontrollerar samma sak.

Underkända kontroller är resultat som ni åtgärdar, ofta med dokumenterade åtgärdssteg. Ni kan skicka dem via EventBridge för automatiska korrigeringar eller till ett ärendehanteringssystem. Poängen förbättras sedan när kontroller övergår från underkänd till godkänd, vilket ger mätbara framsteg.

Alla kontroller passar inte alla konton. Ni kan inaktivera enskilda kontroller som inte gäller, och vissa kontroller accepterar parametrar som anpassar dem till er policy, till exempel den obligatoriska minsta lösenordslängden. Genom att finjustera kontrollerna förblir säkerhetspoängen meningsfull, eftersom en poäng som dras ned av irrelevanta kontroller skulle vilseleda i stället för att vägleda åtgärder.

Ett viktigt beroende är att vissa Security Hub-kontroller förlitar sig på att AWS Config registrerar resurskonfigurationen. Om Config inte registrerar de relevanta resurstypema kan dessa kontroller inte utvärderas och kan visas som att data saknas. Ett fullständigt program för säkerhetsläget aktiverar därför Config tillsammans med Security Hub. På prov kan detta beroende döljas, och då förväntas ni känna till att Config ligger till grund för många kontrollgranskningar.

Security Hub mäter säkerhetsläget genom att köra säkerhetsstandarder, det vill säga uppsättningar av automatiserade kontroller, inklusive AWS:s FSBP, CIS Benchmark och standarder som är anpassade till PCI DSS/NIST. Varje kontroll rapporteras som godkänd eller underkänd och ger en säkerhetspoäng (procent godkända). Inaktivera irrelevanta kontroller, konsolidera överlappande kontroller och åtgärda underkända kontroller för att höja poängen.