ASFF Bulgu Biçimi

Security Hub, her biri kendi yapısına sahip düzinelerce kaynaktan bulgu toplar. Bunları karşılaştırılabilir hâle getirmek için her şeyi tek bir şemaya, AWS Security Finding Format (ASFF) yapısına dönüştürür. ASFF'yi anlamanız, kaynağı ne olursa olsun tüm bulguları okumanızı, filtrelemenizi ve otomatikleştirmenizi sağlar.

ASFF, her bulgunun doldurması gereken tanımlı alanlara sahip standartlaştırılmış bir JSON yapısıdır. Alanlar tutarlı olduğundan GuardDuty, Macie, Inspector ve iş ortağı bulgularının tümünde çalışan tek bir kural, filtre veya otomasyon kümesi yazabilirsiniz.

Önemli alanlar arasında bulguyu benzersiz şekilde tanımlayan bir Id, bulguyu üreten hizmeti belirten bir ProductArn ve bir AwsAccountId bulunur. Bunlar, çok hesaplı toplama işlemlerinde gerekli olan şekilde herhangi bir bulguyu kaynak hesabına ve hizmetine kadar izlemenizi sağlar.

Types alanı, bulguyu bir ad alanı sınıflandırmasına göre sınıflandırır (örneğin yazılım ve yapılandırma veya olağandışı davranış kategorisi). Title ve Description alanları ise insanlar tarafından okunabilen özetler sunar. Birlikte, analiste bulgunun ne hakkında olduğunu bir bakışta anlatırlar.

ASFF, önem derecesini standartlaştırılmış bir puan ve etiket yapısında (INFORMATIONAL, LOW, MEDIUM, HIGH, CRITICAL gibi) birleştirir. Önem derecesi her kaynakta aynı şekilde ifade edildiğinden, başlangıçta farklı ölçekler kullanan hizmetler arasında adil bir önceliklendirme yapabilirsiniz.

Resources dizisi, etkilenen kaynakları ARN'leri, türleri ve ayrıntılarıyla listeler. Bir bulgunun tam olarak neyi etkilediğini bu alan sayesinde bilirsiniz; bu da düzeltme işlemlerini doğru kaynağa yönlendirmek ve etkinin kapsamını anlamak için kritik öneme sahiptir.

ASFF, yaşam döngüsünü bir Workflow durumu (NEW, NOTIFIED, RESOLVED, SUPPRESSED) ve bir RecordState (ACTIVE veya ARCHIVED) ile izler. Analistler bir bulguyu ele alırken iş akışı durumunu günceller; böylece kuyrukta hâlâ ilgilenilmesi gerekenlerle tamamlananlar ayırt edilir.

Denetim temelli bulgular için ASFF, bir standarda göre PASSED, FAILED veya WARNING bildiren bir Compliance alanı içerir. Standart denetimleri, tehdit bulgularıyla aynı biçimde bu alanda görünür; böylece güvenlik duruşu ve tehdit verileri tek bir şemada birleştirilir.

Her bulgu bu şemayı paylaştığından, Severity.Label veya Resources.Type gibi ASFF alanlarını temel alan EventBridge kuralları ve Lambda işlevleri oluşturabilirsiniz. Tek bir otomasyon, birçok kaynaktan gelen bulgulara tepki verebilir; normalleştirmenin temel amacı da budur.

ASFF alanları standartlaştırıldığı için bunları kullanarak hassas filtreler ve içgörüler oluşturabilirsiniz: yalnızca HIGH ve CRITICAL bulguları, yalnızca belirli bir hesabı veya yalnızca belirli bir kaynak türünü gösterebilirsiniz. Aynı alanlar EventBridge olay kalıplarını da destekler. Hangi ASFF alanının hangi bilgiyi tuttuğunu öğrenmek, bulgu akışını bir incelemenin gerektirdiği şekilde tam olarak ayrıştırmanızı sağlar.

BatchImportFindings yeni bulgular eklerken BatchUpdateFindings, bir bulgunun iş akışı durumunu, önem derecesini veya notunu değiştirmenizi sağlar; ancak yalnızca belirli alanlarda ve bulgunun sahibi olan hesap tarafından kullanılabilir, bulguyu oluşturan ürünün alanlarında kullanılamaz. Bu ayrım, analistlerin önceliklendirme durumunu yönetmesine izin verirken kaynak verilerinin güvenilir kalmasını sağlar; sınavda zaman zaman ölçülen inceliklerden biri de budur.

ASFF'nin amacını hatırlayınız.

ASFF, Security Hub'ın tüm bulgular için kullandığı standartlaştırılmış JSON şemasıdır. Önemli alanlar arasında Id, ProductArn, AwsAccountId, Types, normalleştirilmiş Severity (etiket ve puan), Resources (ARN'ler), Workflow/RecordState yaşam döngüsü ve Compliance durumu bulunur. Paylaşılan şema, tutarlı filtreleme ve EventBridge odaklı otomasyon sağlar; ayrıca BatchImportFindings aracılığıyla özel bulguları içe aktarabilirsiniz.