ASFF-formatet för findings

Security Hub aggregerar resultat från dussintals källor, där varje källa har sin egen struktur. För att göra dem jämförbara omvandlar tjänsten allt till ett enda schema: AWS Security Finding Format (ASFF). Om ni förstår ASFF kan ni läsa, filtrera och automatisera hanteringen av alla resultat, oavsett var de kommer från.

ASFF är en standardiserad JSON-struktur med definierade fält som varje resultat måste fylla i. Eftersom fälten är enhetliga kan ni skriva en uppsättning regler, filter eller automatiseringar som fungerar för resultat från GuardDuty, Macie, Inspector och partnerprodukter på samma sätt.

Viktiga fält omfattar ett Id som identifierar resultatet unikt, ett ProductArn som anger vilken tjänst som skapade det och ett AwsAccountId. Med dessa kan ni spåra alla resultat tillbaka till deras källkonto och tjänst, vilket är viktigt vid aggregering av flera konton.

Fältet Types klassificerar resultatet med hjälp av en taxonomi med namnrymder (till exempel en kategori för programvara och konfiguration eller en kategori för ovanligt beteende), medan Title och Description ger sammanfattningar som är begripliga för människor. Tillsammans visar de snabbt för en analytiker vad resultatet gäller.

ASFF normaliserar allvarlighetsgraden till en enhetlig struktur med en normaliserad poäng och etikett (till exempel INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL). Eftersom allvarlighetsgraden uttrycks på samma sätt för alla källor kan ni prioritera rättvist mellan tjänster som ursprungligen använde olika skalor.

Arrayen Resources listar de berörda resurserna med deras ARN:er, typer och detaljer. Det är så ni ser exakt vad ett resultat påverkar, vilket är avgörande för att styra åtgärder till rätt resurs och förstå konsekvensernas omfattning.

ASFF spårar livscykeln med statusen Workflow (NEW, NOTIFIED, RESOLVED, SUPPRESSED) och en RecordState (ACTIVE eller ARCHIVED). Analytiker uppdaterar workflow-statusen när de hanterar ett fynd, så att kön visar vad som fortfarande behöver uppmärksammas och vad som är klart.

För kontrollbaserade fynd innehåller ASFF fältet Compliance, som rapporterar PASSED, FAILED eller WARNING mot en standard. På så sätt visas standardkontroller i samma format som hotfynd, vilket förenar säkerhetsstatus- och hotdata i ett och samma schema.

Eftersom alla fynd delar detta schema kan ni bygga EventBridge-regler och Lambda-funktioner som utgår från ASFF-fält som Severity.Label eller Resources.Type. En automatisering kan reagera på fynd från många källor, vilket är hela poängen med normalisering.

Eftersom ASFF-fälten är standardiserade kan ni skapa precisa filter och insikter utifrån dem: visa endast fynd med allvarlighetsgraden HIGH och CRITICAL, endast ett visst konto eller endast en viss resurstyp. Samma fält används i EventBridge-händelsemönster. När ni behärskar vilket ASFF-fält som innehåller vilken information kan ni dela upp fyndströmmen exakt så som undersökningen kräver.

Medan BatchImportFindings lägger in nya fynd kan BatchUpdateFindings användas för att ändra ett fynds workflow-status, allvarlighetsgrad eller anteckning, men endast vissa fält får ändras och endast av det konto som äger fyndet – inte av det ursprungliga produktets fält. Denna åtskillnad håller källdata tillförlitliga och låter samtidigt analytiker hantera triagestatus, en nyans som provet ibland testar.

ASFF är Security Hubs standardiserade JSON-schema för alla fynd. Viktiga fält är bland annat Id, ProductArn, AwsAccountId, Types, normaliserad Severity (etikett och poäng), Resources (ARN:er), livscykeln för Workflow/RecordState samt Compliance-status. Det gemensamma schemat möjliggör konsekvent filtrering och EventBridge-baserad automatisering, och ni kan importera anpassade fynd via BatchImportFindings.