Security Hub รวบรวมอะไรบ้าง

เมื่อคุณเพิ่มบริการด้านความปลอดภัย การแจ้งเตือนจะสะสมอยู่ในคอนโซลหลายแห่ง AWS Security Hub แก้ปัญหานี้ด้วยการทำหน้าที่เป็น ตัวรวมข้อมูลส่วนกลาง โดยรวบรวมผลการค้นพบจากบริการด้านความปลอดภัยของ AWS และเครื่องมือจากพาร์ทเนอร์ไว้ในมุมมองเดียว แทนที่จะตรวจสอบทีละบริการ คุณสามารถคัดกรองและจัดลำดับการดำเนินการได้จากที่เดียว

Security Hub นำเข้าผลการค้นพบจากบริการต่าง ๆ เช่น GuardDuty, Macie, Inspector, IAM Access Analyzer และ Firewall Manager รวมถึงผลิตภัณฑ์จากผู้ให้บริการภายนอก นอกจากนี้ยังเรียกใช้การตรวจสอบความปลอดภัยแบบอัตโนมัติของตนเองด้วย ผลลัพธ์คือรายการงานค้างแบบรวมศูนย์ของปัญหาทั้งหมดในบัญชีของคุณ

บริการแต่ละอย่างอธิบายผลการค้นพบแตกต่างกัน Security Hub จะแปลงผลการค้นพบทั้งหมดให้อยู่ในโครงสร้างมาตรฐานเดียว คือรูปแบบผลการค้นพบด้านความปลอดภัยของ AWS (ASFF) ทำให้ผลการค้นพบทุกชิ้นมีรูปแบบสอดคล้องกันไม่ว่าจะมาจากแหล่งใด การทำให้เป็นมาตรฐานนี้เองที่ทำให้สามารถมีมุมมองความปลอดภัยแบบรวมศูนย์ได้

Security Hub ไม่ได้เป็นเพียงตัวรวบรวมข้อมูล แต่ยัง ประเมินบัญชีของคุณ เทียบกับมาตรฐานความปลอดภัยโดยใช้การตรวจสอบแบบอัตโนมัติ การตรวจสอบเหล่านี้สร้างผลการค้นพบของตนเองเกี่ยวกับการกำหนดค่าที่ไม่ถูกต้อง ทำให้คุณได้รับทั้งการแจ้งเตือนที่เข้ามาและการประเมินสถานะความปลอดภัยอย่างต่อเนื่องในบริการเดียว

เนื่องจากผลการค้นพบแยกตามรีเจียน Security Hub จึงมีฟีเจอร์ การรวมข้อมูลข้ามรีเจียน ซึ่งรวบรวมผลการค้นพบจากหลายรีเจียนมาไว้ในรีเจียนรวมข้อมูลเดียว ทำให้ทีมความปลอดภัยมีมุมมองเดียวที่ครอบคลุมสภาพแวดล้อมทั้งหมดอย่างแท้จริง แทนที่จะต้องแยกดูแต่ละรีเจียน

เช่นเดียวกับ GuardDuty, Security Hub รองรับ ผู้ดูแลระบบที่ได้รับมอบหมาย และการผสานรวมกับ AWS Organizations บัญชีความปลอดภัยหนึ่งบัญชีสามารถรวมผลการค้นพบจากบัญชีสมาชิกทุกบัญชี พร้อมเปิดใช้งานอัตโนมัติสำหรับบัญชีใหม่ได้ เมื่อนำมารวมกับการรวมข้อมูลข้ามรีเจียน จะทำให้มองเห็นภาพรวมทั่วทั้งองค์กร

ด้วยการลบรายการซ้ำและทำให้ข้อมูลเป็นมาตรฐาน Security Hub ช่วยลดสัญญาณรบกวนและช่วยให้นักวิเคราะห์เห็นภาพที่แท้จริง สามารถจัดกลุ่มผลการค้นพบที่เกี่ยวข้องกันได้ และระดับความรุนแรงที่สอดคล้องกันช่วยให้จัดลำดับความสำคัญข้ามแหล่งที่มาได้อย่างเป็นธรรม เป้าหมายคือการมีการแจ้งเตือนที่น้อยลง ชัดเจนขึ้น และนำไปดำเนินการได้จริง

Security Hub ผสานการทำงานกับ EventBridge ดังนั้นผลการค้นพบที่รวมไว้จึงสามารถทริกเกอร์การตอบสนองอัตโนมัติ หรือส่งต่อไปยังเครื่องมือจัดการใบงานและเครื่องมือแชตได้ วิธีนี้เปลี่ยนศูนย์กลางข้อมูลให้เป็นจุดเริ่มต้นของกระบวนการตอบสนอง ไม่ใช่เพียงแดชบอร์ด

ให้คิดถึงกระบวนการเป็น ตรวจจับ รวมข้อมูล สืบสวน และตอบสนอง GuardDuty และบริการอื่น ๆ ทำหน้าที่ตรวจจับ ส่วน Security Hub จะรวมข้อมูลและให้คะแนน Detective ทำหน้าที่สืบสวน และ EventBridge กับ Lambda ทำหน้าที่ตอบสนอง Security Hub คือระบบประสาทส่วนกลางที่เชื่อมการตรวจจับเข้ากับการดำเนินการ

ผลการค้นพบที่ Security Hub รวมไว้นั้นครอบคลุมหลายหมวดหมู่ ได้แก่ การตรวจจับภัยคุกคามจาก GuardDuty, การค้นพบข้อมูลละเอียดอ่อนจาก Macie, ผลการค้นพบช่องโหว่จาก Inspector และ ผลการค้นพบด้านการเข้าถึงจาก IAM Access Analyzer การรวบรวมภัยคุกคาม ช่องโหว่ ความเสี่ยงด้านข้อมูล และความเสี่ยงด้านการเข้าถึงไว้ในที่เดียว ทำให้ Security Hub เป็นมุมมองเดียวของสถานะความปลอดภัยอย่างแท้จริง

หากต้องการนำเข้าผลการค้นพบของบริการหนึ่ง บริการนั้นต้อง เปิดใช้งานและผสานรวม กับ Security Hub ก่อน แหล่งข้อมูล AWS หลายแหล่งจะผสานรวมโดยอัตโนมัติเมื่อคุณเปิด Security Hub ส่วนผลิตภัณฑ์จากพาร์ทเนอร์จะผสานรวมผ่านหน้าการผสานรวม ช่องว่างที่พบบ่อยคือการคาดหวังผลการค้นพบจากแหล่งข้อมูลที่คุณไม่เคยเปิดใช้งาน ดังนั้นการยืนยันว่าการผสานรวมทำงานอยู่จึงเป็นส่วนหนึ่งของการตั้งค่าการรวมข้อมูลทุกครั้ง

เลือกบริการที่ทำหน้าที่รวมข้อมูล

Security Hub รวมและทำให้ผลการค้นพบจาก GuardDuty, Macie, Inspector, Access Analyzer และพาร์ทเนอร์เป็นมาตรฐานในรูปแบบ ASFF พร้อมทั้งตรวจสอบสถานะความปลอดภัยเทียบกับมาตรฐานต่าง ๆ นอกจากนี้ยังรองรับการรวมข้อมูลข้ามรีเจียนและข้ามบัญชี (ผ่านผู้ดูแลระบบที่ได้รับมอบหมาย) และส่งข้อมูลไปยัง EventBridge เพื่อการตอบสนอง จึงทำหน้าที่เป็นมุมมองเดียวของผลการค้นพบด้านความปลอดภัย