Implementando Conformidade com o AWS Security Hub

Quando Usar

• Ao estabelecer gerenciamento centralizado da postura de segurança em várias contas da AWS
• Quando os requisitos de conformidade exigem monitoramento contínuo contra os padrões CIS, PCI DSS ou NIST 800-53
• Ao agregar descobertas do GuardDuty, Inspector, Macie, Firewall Manager e ferramentas de terceiros
• Ao criar fluxos de trabalho de remediação automatizada acionados por descobertas de segurança
• Quando stakeholders executivos exigem um painel de conformidade de segurança em toda a organização

Não use para detecção de ameaças em tempo real (use GuardDuty), para varredura de vulnerabilidades (use Inspector) ou para classificação de dados (use Macie). O Security Hub agrega descobertas desses serviços, mas não os substitui.

Pré-requisitos

• AWS Organizations com administrador delegado para o Security Hub
• Permissões IAM para securityhub:*, config:*, events:* e lambda:*
• AWS Config habilitado em todas as contas e regiões de destino (exigido pelo Security Hub)
• CloudFormation StackSets ou Terraform para implantação em várias contas
• Tópicos SNS configurados para roteamento de alertas para a equipe de segurança

Fluxo de Trabalho

Etapa 1: Habilitar o Security Hub com Padrões de Conformidade

Habilite o Security Hub na conta de gerenciamento e selecione os padrões de conformidade a serem avaliados.

# Enable Security Hub in the current account/region
aws securityhub enable-security-hub \
  --enable-default-standards \
  --control-finding-generator SECURITY_CONTROL

# Enable specific compliance standards
aws securityhub batch-enable-standards --standards-subscription-requests \
  '[
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/cis-aws-foundations-benchmark/v/1.4.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/pci-dss/v/3.2.1"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/nist-800-53/v/5.0.0"}
  ]'

# Verify enabled standards
aws securityhub get-enabled-standards \
  --query 'StandardsSubscriptions[*].[StandardsArn,StandardsStatus]' --output table

Etapa 2: Configurar Agregação em Várias Contas

Configure um administrador delegado e agregue descobertas de todas as contas da organização.

# Designate a delegated admin (run from management account)
aws securityhub enable-organization-admin-account \
  --admin-account-id 111122223333

# From the delegated admin account, enable auto-enrollment
aws securityhub update-organization-configuration \
  --auto-enable \
  --auto-enable-standards DEFAULT

# Create a finding aggregator for cross-region aggregation
aws securityhub create-finding-aggregator \
  --region-linking-mode ALL_REGIONS

# List member accounts
aws securityhub list-members \
  --query 'Members[*].[AccountId,MemberStatus]' --output table

Etapa 3: Revisar Pontuações de Conformidade e Controles Falhos

Consulte o Security Hub para obter a postura de conformidade em todos os padrões habilitados e identifique os controles que falharam.

# Get overall compliance score for CIS benchmark
aws securityhub get-standards-control-associations \
  --security-control-id "IAM.1" \
  --query 'StandardsControlAssociationSummaries[*].[StandardsArn,AssociationStatus]' \
  --output table

# List all failed controls
aws securityhub get-findings \
  --filters '{
    "ComplianceStatus": [{"Value": "FAILED", "Comparison": "EQUALS"}],
    "RecordState": [{"Value": "ACTIVE", "Comparison": "EQUALS"}],
    "WorkflowStatus": [{"Value": "NEW", "Comparison": "EQUALS"}]
  }' \
  --sort-criteria '{"Field": "SeverityNormalized", "SortOrder": "desc"}' \
  --max-items 50 \
  --query 'Findings[*].[Title,Severity.Label,Compliance.Status,Resources[0].Id]' \
  --output table

# Get finding counts by severity
aws securityhub get-insight-results \
  --insight-arn "arn:aws:securityhub:us-east-1:111122223333:insight/111122223333/default/2"

Etapa 4: Criar Insights de Segurança Personalizados

Crie insights personalizados para rastrear prioridades de segurança específicas da organização.

# Criar insight para recursos publicamente acessíveis
aws securityhub create-insight \
  --name "Recursos Publicamente Acessíveis" \
  --filters '{
    "ResourceType": [
      {"Value": "AwsS3Bucket", "Comparison": "EQUALS"},
      {"Value": "AwsEc2SecurityGroup", "Comparison": "EQUALS"},
      {"Value": "AwsRdsDbInstance", "Comparison": "EQUALS"}
    ],
    "ComplianceStatus": [{"Value": "FAILED", "Comparison": "EQUALS"}],

…