มาตรฐานความปลอดภัยและคะแนนการปฏิบัติตามข้อกำหนด

การรวมผลการค้นพบเป็นเพียงครึ่งหนึ่งของคุณค่าที่ Security Hub มอบให้ อีกครึ่งหนึ่งคือการ ตรวจสอบบัญชีของคุณอย่างต่อเนื่อง เทียบกับมาตรฐานแนวทางปฏิบัติที่ดีที่สุด พร้อมให้คะแนนแก่คุณ สิ่งนี้บอกคุณไม่เพียงว่าอะไรโจมตีคุณ แต่ยังบอกด้วยว่าการกำหนดค่าของคุณเปิดช่องให้ถูกโจมตีมากเพียงใดตั้งแต่แรก

มาตรฐานความปลอดภัย คือชุดการควบคุมแบบอัตโนมัติที่คัดสรรมาเพื่อ ตรวจสอบทรัพยากรเทียบกับแนวทางปฏิบัติที่ดีที่สุด Security Hub จะเรียกใช้การตรวจสอบเหล่านี้ตามกำหนดเวลา และรายงานการควบคุมแต่ละรายการว่าผ่านหรือล้มเหลว เปลี่ยนคำถามกว้าง ๆ ว่า “ระบบของเราปลอดภัยหรือไม่” ให้เป็นผลลัพธ์ที่ชัดเจนและวัดผลได้

Security Hub มีมาตรฐานต่าง ๆ รวมถึง AWS Foundational Security Best Practices (FSBP), เกณฑ์มาตรฐาน AWS Foundations ของ Center for Internet Security (CIS) และมาตรฐานที่สอดคล้องกับ PCI DSS และ NIST แต่ละมาตรฐานมุ่งตอบโจทย์ผู้ใช้งานต่างกลุ่ม ตั้งแต่การเสริมความปลอดภัยทั่วไปไปจนถึงข้อกำหนดด้านการปฏิบัติตามมาตรฐานเฉพาะ

มาตรฐาน FSBP คือชุดการตรวจสอบอย่างกว้างขวางของ AWS ซึ่งครอบคลุมบริการจำนวนมาก เช่น “บักเก็ต S3 ควรบล็อกการเข้าถึงแบบสาธารณะ” หรือ “ผู้ใช้รากของ IAM ควรมี MFA” มาตรฐานนี้เป็นจุดเริ่มต้นที่แนะนำสำหรับบัญชีส่วนใหญ่ เพราะสะท้อนคำแนะนำปัจจุบันของ AWS ในภาพรวม

CIS AWS Foundations Benchmark คือแนวทางเสริมความปลอดภัยระดับอุตสาหกรรมที่ดูแลโดย Center for Internet Security การเปิดใช้งานใน Security Hub จะตรวจสอบบัญชีของคุณเทียบกับการควบคุมที่เป็นที่ยอมรับโดยทั่วไป ซึ่งมีประโยชน์เมื่อผู้ตรวจสอบคาดหวังให้สอดคล้องกับ CIS โดยเฉพาะ

มาตรฐานแต่ละรายการประกอบด้วย การควบคุม แต่ละรายการ และการควบคุมแต่ละรายการจะรายงานสถานะว่า ผ่าน ล้มเหลว หรือไม่พร้อมใช้งาน การควบคุมที่ล้มเหลวจะสร้างผลการค้นพบที่คุณแก้ไขได้ คุณสามารถปิดใช้การควบคุมที่ไม่เกี่ยวข้องกับสภาพแวดล้อมของคุณ เพื่อไม่ให้ผลลัพธ์คลาดเคลื่อน

Security Hub คำนวณ คะแนนความปลอดภัย ซึ่งเป็นเปอร์เซ็นต์ของการควบคุมที่ผ่านเมื่อเทียบกับการควบคุมที่เปิดใช้งาน คะแนนที่สูงกว่าหมายถึงสถานะความปลอดภัยที่แข็งแกร่งกว่า คะแนนนี้ช่วยให้ผู้บริหารมีตัวชี้วัดที่เข้าใจง่ายสำหรับติดตามแนวโน้ม ขณะที่การควบคุมที่ล้มเหลวในรายละเอียดจะเป็นรายการงานที่วิศวกรต้องดำเนินการ

การควบคุมหลายรายการซ้ำซ้อนกันระหว่างมาตรฐานต่าง ๆ Security Hub สามารถ รวม ผลการค้นพบจากการควบคุมได้ เพื่อไม่ให้ปัญหาพื้นฐานเดียวกันถูกรายงานซ้ำหลายครั้ง วิธีนี้ช่วยให้คะแนนและรายการผลการค้นพบเป็นระเบียบ แม้มาตรฐานหลายรายการจะตรวจสอบเรื่องเดียวกัน

การควบคุมที่ล้มเหลวคือผลการค้นพบที่คุณต้องแก้ไข ซึ่งมักมีขั้นตอนการแก้ไขที่จัดทำเป็นเอกสารไว้ คุณสามารถส่งรายการเหล่านี้ผ่าน EventBridge เพื่อแก้ไขโดยอัตโนมัติ หรือส่งไปยังระบบจัดการใบงานได้ คะแนนจะดีขึ้นเมื่อการควบคุมเปลี่ยนจากล้มเหลวเป็นผ่าน ทำให้เห็นความคืบหน้าได้อย่างวัดผล

การควบคุมทุกอย่างไม่ได้เหมาะกับทุกบัญชี คุณสามารถ ปิดใช้การควบคุมแต่ละรายการ ที่ไม่เกี่ยวข้อง และการควบคุมบางรายการรองรับ พารามิเตอร์ เพื่อให้ตรงกับนโยบายของคุณ เช่น ความยาวรหัสผ่านขั้นต่ำที่กำหนด การปรับแต่งการควบคุมช่วยให้คะแนนความปลอดภัยมีความหมาย เพราะคะแนนที่ลดลงจากการตรวจสอบที่ไม่เกี่ยวข้องอาจทำให้เข้าใจผิดแทนที่จะช่วยชี้แนวทางการแก้ไข

สิ่งที่ต้องพึ่งพาที่สำคัญคือ การควบคุมบางรายการของ Security Hub อาศัย AWS Config ในการบันทึกการกำหนดค่าทรัพยากร หาก Config ไม่ได้บันทึกประเภททรัพยากรที่เกี่ยวข้อง การควบคุมเหล่านั้นจะไม่สามารถประเมินผลได้และอาจแสดงว่าไม่มีข้อมูล ดังนั้นโปรแกรมจัดการสถานะความปลอดภัยที่สมบูรณ์จึงต้องเปิดใช้ Config ควบคู่กับ Security Hub การสอบอาจซ่อนสิ่งที่ต้องพึ่งพานี้ไว้ โดยคาดหวังให้คุณทราบว่า Config เป็นพื้นฐานรองรับการตรวจสอบการควบคุมหลายรายการ

จับคู่มาตรฐานกับความต้องการ

Security Hub วัดสถานะความปลอดภัยด้วยการเรียกใช้ มาตรฐานความปลอดภัย ซึ่งเป็นชุดการควบคุมแบบอัตโนมัติ รวมถึง FSBP ของ AWS, เกณฑ์มาตรฐาน CIS และมาตรฐานที่สอดคล้องกับ PCI DSS/NIST การควบคุมแต่ละรายการจะรายงานว่าผ่านหรือล้มเหลว และสร้าง คะแนนความปลอดภัย (เปอร์เซ็นต์ที่ผ่าน) ให้ปิดใช้การควบคุมที่ไม่เกี่ยวข้อง รวมการควบคุมที่ซ้ำซ้อน และแก้ไขรายการที่ล้มเหลวเพื่อเพิ่มคะแนน