Güvenlik Standartları ve Uyumluluk Puanları

Bulguları toplamak, Security Hub'ın değerinin yarısıdır. Diğer yarısı ise hesabınızı sürekli olarak denetlemek, en iyi uygulama standartlarıyla karşılaştırmak ve size bir puan sunmaktır. Bu, yalnızca size neyin saldırdığını değil, yapılandırmanızın en baştan ne ölçüde açıkta olduğunu da gösterir.

Güvenlik standardı, kaynakları en iyi uygulamalarla karşılaştıran, özenle hazırlanmış bir otomatik denetim kümesidir. Security Hub bu denetimleri belirli bir programa göre yürütür ve her denetimi başarılı veya başarısız olarak raporlar. Böylece belirsiz "güvende miyiz?" soruları somut ve ölçülebilir sonuçlara dönüşür.

Security Hub; AWS Foundational Security Best Practices (FSBP), Center for Internet Security (CIS) AWS Foundations Benchmark ve PCI DSS ile NIST ile uyumlu standartlar gibi standartlar sunar. Her biri genel sağlamlaştırmadan belirli uyumluluk düzenlerine kadar farklı bir hedef kitleye yöneliktir.

FSBP standardı, AWS'nin birçok hizmeti kapsayan geniş denetim kümesidir. Örneğin "S3 klasörleri genel erişimi engellemelidir" veya "IAM kök kullanıcısı MFA kullanmalıdır" gibi denetimler içerir. AWS'nin genelindeki güncel yönergeleri yansıttığı için çoğu hesap için önerilen başlangıç noktasıdır.

CIS AWS Foundations Benchmark, Center for Internet Security tarafından sürdürülen, sektör standardı bir sağlamlaştırma kılavuzudur. Security Hub'da etkinleştirildiğinde hesabınızı, üzerinde uzlaşılmış ve iyi bilinen denetimlerle karşılaştırır. Bu, denetçiler özellikle CIS uyumluluğu beklediğinde yararlıdır.

Her standart, ayrı denetimlerden oluşur ve her denetim bir durum bildirir: başarılı, başarısız veya kullanılamıyor. Başarısız denetimler düzeltebileceğiniz bulgular oluşturur. Ortamınızla ilgili olmayan denetimleri devre dışı bırakarak sonuçlarınızı çarpıtmalarını önleyebilirsiniz.

Security Hub, etkinleştirilmiş denetimler arasından başarılı olanların yüzdesini ifade eden bir güvenlik puanı hesaplar. Daha yüksek puan, daha güçlü bir güvenlik duruşu anlamına gelir. Puan, yöneticilere zaman içindeki gelişimi izlemek için basit bir ölçüt sunarken, başarısız denetimler mühendislere yapılacaklar listesini verir.

Birçok denetim farklı standartlarda örtüşür. Security Hub, temel alınan tek bir sorunun birçok kez raporlanmaması için denetim bulgularını birleştirebilir. Böylece birkaç standart aynı şeyi denetlese bile puan ve bulgu listesi düzenli kalır.

Başarısız denetimler, genellikle belgelenmiş düzeltme adımlarıyla gidereceğiniz bulgulardır. Bunları otomatik düzeltmeler için EventBridge üzerinden yönlendirebilir veya bir bilet oluşturma sistemine aktarabilirsiniz. Denetimler başarısızdan başarılıya geçtikçe puan yükselir ve ölçülebilir ilerleme sağlanır.

Her denetim her hesaba uygun değildir. Uygulanmayan tek tek denetimleri devre dışı bırakabilir ve bazı denetimlerin politikanıza uyması için parametreler belirleyebilirsiniz; örneğin gerekli minimum parola uzunluğu gibi. Denetimleri ayarlamak, güvenlik puanının anlamlı kalmasını sağlar. Çünkü ilgisiz denetimlerin puanı düşürmesi, düzeltme çalışmalarına yol göstermek yerine yanıltıcı olur.

Önemli bir bağımlılık vardır: bazı Security Hub denetimleri, kaynak yapılandırmasını kaydetmek için AWS Config'e güvenir. Config ilgili kaynak türlerini kaydetmiyorsa bu denetimler değerlendirme yapamaz ve veri yok olarak görünebilir. Bu nedenle eksiksiz bir güvenlik duruşu programı, Security Hub'ın yanında Config'i de etkinleştirir. Sınav bu bağımlılığı gizleyebilir; sizden Config'in birçok denetimin temelini oluşturduğunu bilmeniz beklenir.

Standartları ihtiyaçlarla eşleştirin.

Security Hub, güvenlik standartlarını, yani AWS FSBP, CIS Benchmark ve PCI DSS/NIST ile uyumlu standartlar dâhil olmak üzere otomatik denetim kümelerini çalıştırarak güvenlik duruşunu ölçer. Her denetim başarılı veya başarısız olarak raporlanır ve bir güvenlik puanı (başarılı denetimlerin yüzdesi) oluşturulur. İlgisiz denetimleri devre dışı bırakın, örtüşen denetimleri birleştirin ve puanı yükseltmek için başarısızlıkları giderin.