Implementando o AWS Security Hub

Quando Usar

• Ao estabelecer um painel centralizado de descobertas de segurança em várias contas da AWS
• Ao habilitar verificações automatizadas de conformidade contra CIS, PCI-DSS, NIST ou as Melhores Práticas Fundamentais de Segurança da AWS
• Ao integrar descobertas do GuardDuty, Inspector, Macie e ferramentas de segurança de terceiros
• Ao construir fluxos de trabalho de remediação automatizada para configurações de segurança incorretas recorrentes
• Ao preparar evidências de conformidade para auditores que exigem monitoramento contínuo da postura

Não use para detecção de ameaças em tempo real (veja detecting-cloud-threats-with-guardduty), para monitoramento de conformidade do Azure (veja securing-azure-with-microsoft-defender) ou para varredura profunda de vulnerabilidades de imagens de contêineres (veja securing-container-registry).

Pré-requisitos

• AWS Organization com uma conta designada de administrador de segurança
• AWS Config habilitado em todas as contas e regiões de destino
• GuardDuty, Inspector e Macie ativados para integração de descobertas
• Permissões IAM para securityhub:* e config:* na conta administradora

Fluxo de Trabalho

Etapa 1: Habilitar o Security Hub com Padrões

Ative o Security Hub na conta administradora delegada e habilite os padrões de segurança. O CSPM do AWS Security Hub suporta CIS AWS Foundations Benchmark v5.0, Melhores Práticas Fundamentais de Segurança da AWS, PCI DSS v3.2.1 e NIST SP 800-53.

# Enable Security Hub with standards
aws securityhub enable-security-hub \
  --enable-default-standards \
  --tags '{"Environment":"production","ManagedBy":"security-team"}'

# Enable CIS AWS Foundations Benchmark v5.0
aws securityhub batch-enable-standards \
  --standards-subscription-requests '[
    {"StandardsArn": "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/5.0.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/pci-dss/v/3.2.1"}
  ]'

# Verify enabled standards
aws securityhub get-enabled-standards \
  --query 'StandardsSubscriptions[*].[StandardsArn,StandardsStatus]' --output table

Etapa 2: Configurar Agregação Multi-Conta

Designar um administrador do Security Hub e registrar automaticamente todas as contas membro da organização. Configurar agregação entre regiões para consolidar descobertas em uma única região.

# Designate delegated admin
aws securityhub enable-organization-admin-account \
  --admin-account-id 111122223333

# Auto-enable for all org members
aws securityhub update-organization-configuration \
  --auto-enable \
  --organization-configuration '{"ConfigurationType": "CENTRAL"}'

# Enable cross-region aggregation
aws securityhub create-finding-aggregator \
  --region-linking-mode ALL_REGIONS

Etapa 3: Integrar Serviços de Segurança e Ferramentas de Terceiros

Configurar integrações de produtos para receber descobertas de serviços da AWS e ferramentas de segurança de parceiros. Mapear descobertas de terceiros para o Formato de Descoberta de Segurança da AWS (ASFF).

# List available product integrations
aws securityhub describe-products \
  --query 'Products[*].[ProductName,CompanyName,ProductSubscriptionResourcePolicy]' --output table

# Enable specific integrations
aws securityhub enable-import-findings-for-product \
  --product-arn "arn:aws:securityhub:us-east-1::product/aws/guardduty"

aws securityhub enable-import-findings-for-product \
  --product-arn "arn:aws:securityhub:us-east-1::product/aws/inspector"

# Import custom findings using ASFF format
aws securityhub batch-import-findings --findings '[{
  "SchemaVersion": "2018-10-08",
  "Id": "custom-finding-001",
  "ProductArn": "arn:aws:securityhub:us-east-1:123456789012:product/123456789012/default",
  "GeneratorId": "custom-scanner",
  "AwsAccountId": "123456789012",
  "Types": ["Software and Configuration Checks/Vulnerabilities/CVE"],
  "Title": "Unpatched OpenSSL in production ALB backend",
  "Description": "CVE-2024-12345 detected on backend instances",
  "Severity": {"Label": "HIGH"},
  "Resources": [{"Type": "AwsEc2Instance", "Id": "arn:aws:ec2:us-east-1:123456789012:instance/i-0abc123"}]
}]'

Etapa 4: Construir Remediação Automatizada

Criar ações personalizadas do Security Hub vinculadas a regras do EventBridge e funções Lambda para remediação de descobertas comuns com um clique ou totalmente automatizada.

# Criar um alvo de ação para remediação
aws securityhub create-action-target \
  --name "IsolateInstance" \

…