Sécurité, identité et conformitéService régional
Security Hub
Centralise les alertes de sécurité de plusieurs services AWS et mesure la conformité du compte
Présentation
Deux services portent ce nom, et il faut les distinguer :
- Security Hub CSPM, pour Cloud Security Posture Management, évalue la posture de sécurité du compte. C’est lui que décrit cette fiche.
- Security Hub reçoit ses constats et ceux des autres services, les corrèle en expositions et les hiérarchise
AWS recommande d’activer les deux, mais le CSPM seul suffit si l’on cherche à repérer les mauvaises configurations.
Le CSPM remplit lui-même deux fonctions distinctes :
- L’agrégation des détections d’autres services : GuardDuty, Inspector, Macie…
- Les contrôles de conformité qu’il exécute sur la configuration du compte, et dont il tire un score
Cas d’usage
- Centraliser les informations issues de plusieurs services
- Suivre un score de conformité dans le temps
- Automatiser la réponse : chaque constat est émis vers EventBridge, ce qui permet d’automatiser la correction
- Superviser la sécurité de plusieurs comptes
Le format commun
- Tous les constats sont normalisés au format ASFF (AWS Security Finding Format)
- C’est lui qui permet de trier, filtrer et comparer des alertes d’origines différentes
- Les produits de sécurité partenaires y publient leurs constats au même format, et les constats peuvent en ressortir vers un SIEM ou un outil de ticketing
Normes évaluées
- AWS Foundational Security Best Practices, norme spécifique à AWS
- CIS AWS Foundations Benchmark
- PCI DSS et NIST 800-53
Chaque norme donne un pourcentage de contrôles réussis.
Automatiser le traitement
Règles d’automatisation
- Elles agissent sur le constat, non sur la ressource
- Elles s’appliquent à l’ingestion, avant tout traitement
- Leur rôle est de réduire le bruit
La remédiation
Security Hub ne corrige rien lui-même. Chaque constat est publié vers EventBridge, où il est possible de déclencher :
- une Lambda, pour un correctif sur mesure ;
- ou un runbook Systems Manager Automation, pour les corrections courantes (refermer un groupe de sécurité trop permissif, activer le chiffrement d’un volume, désactiver une clé d’accès inutilisée…)
Contrôles partagés entre normes
Un même contrôle appartient souvent à plusieurs normes : le chiffrement d’un bucket S3 figure dans FSBP comme dans CIS.
Deux conséquences :
- Un seul constat est produit, et non un par norme
- Un seul contrôle facturé, AWS ne facturant pas les vérifications en double
Chaque norme conserve pourtant son propre pourcentage de conformité, calculé sur les seuls contrôles qui la composent.
Multi-comptes
- S’intègre à AWS Organizations, avec un administrateur délégué
- Les constats des comptes membres remontent au compte d’administration
- Agrégation inter-régions vers une région principale
Tarification
- Un essai gratuit de 30 jours est disponible
- Au-delà de cet essai la facturation se fait :
- Par contrôle de conformité exécuté (sur chaque compte/région)
- Par événement ingéré, les 10 000 premiers par compte et par région étant gratuits chaque mois
- Par évaluation de règle d’automatisation
Limites à connaître
- Security Hub ne détecte rien par lui-même : il dépend des données fournies par les autres services
- Le service s’active région par région
- Ses contrôles portent uniquement sur la configuration mais pas sur le trafic ni sur le contenu