Gestión de la postura de seguridad - Plataforma integrada de monitoreo de seguridad con AWS Security Hub
Explicamos el monitoreo integrado de seguridad con AWS Security Hub y la automatización de la detección de amenazas mediante la integración con GuardDuty. Presentamos la visualización del estado de cumplimiento de las mejores prácticas de seguridad y la gobernanza de seguridad en entornos multi-cuenta.
Importancia de la gestión de la postura de seguridad y Security Hub
En la gestión de seguridad de entornos en la nube, es importante integrar los hallazgos de múltiples servicios de seguridad y comprender de forma integral el estado de seguridad de toda la organización. AWS Security Hub es un servicio que agrega y gestiona de forma centralizada las alertas de seguridad y el estado de cumplimiento de todo el entorno AWS. Estandariza los hallazgos de múltiples servicios de seguridad de AWS como GuardDuty, Inspector, Macie, Firewall Manager e IAM Access Analyzer en el formato AWS Security Finding Format (ASFF) y los visualiza en un panel unificado. Mediante verificaciones automáticas basadas en estándares de seguridad (AWS Foundational Security Best Practices, CIS AWS Foundations Benchmark, PCI DSS), detecta continuamente configuraciones incorrectas y desviaciones de las mejores prácticas.
Estándares de seguridad y verificaciones automáticas de cumplimiento
Security Hub proporciona verificaciones automáticas basadas en múltiples estándares de seguridad. AWS Foundational Security Best Practices (FSBP) cubre las configuraciones de seguridad recomendadas por AWS, evaluando automáticamente cientos de elementos como el acceso público a buckets S3, el cifrado de volúmenes EBS, las políticas de contraseñas IAM y la habilitación de VPC Flow Logs. CIS AWS Foundations Benchmark es un benchmark estándar de la industria establecido por el Center for Internet Security que evalúa sistemáticamente las configuraciones de seguridad del entorno AWS. Cada elemento de verificación tiene una puntuación de seguridad asignada, permitiendo comprender numéricamente la postura de seguridad de toda la organización. En coordinación con las reglas de AWS Config, evalúa los cambios de configuración de recursos en tiempo real y detecta inmediatamente las configuraciones no conformes. A continuación se muestra un ejemplo de verificación de la puntuación de seguridad de Security Hub con AWS CLI. ```bash aws securityhub get-findings \ --filters '{"ComplianceStatus": [{"Value": "FAILED", "Comparison": "EQUALS"}]}' \ --max-items 10 \ --region ap-northeast-1 ``` Mediante acciones personalizadas, también es posible construir flujos de trabajo de remediación automática para hallazgos específicos.
Integración de detección de amenazas con GuardDuty
Los resultados de detección de amenazas de GuardDuty se agregan automáticamente en Security Hub y se pueden analizar de forma integrada con los hallazgos de otros servicios de seguridad. La información de amenazas detectada por GuardDuty, como llamadas API no autorizadas, minería de criptomonedas y comunicaciones con servidores C&C, se clasifica por gravedad en el panel de Security Hub, permitiendo priorizar la respuesta. Mediante la integración con EventBridge, los hallazgos que superan cierta gravedad se enrutan automáticamente a funciones Lambda, ejecutando respuestas automáticas como la invalidación de credenciales IAM comprometidas, la corrección de Security Groups y la notificación al equipo de seguridad mediante SNS. La función de insights de Security Hub permite el análisis de tendencias de hallazgos, la identificación de los recursos más afectados y la visualización de patrones de ataque. La integración con herramientas de seguridad de terceros (Splunk, PagerDuty, Jira) permite incorporar alertas de seguridad en los flujos de trabajo de gestión de incidentes existentes. Para obtener una visión general de la introducción al monitoreo de seguridad, libros relacionados (Amazon) son una referencia útil.
Gobernanza de seguridad en entornos multi-cuenta
Security Hub se integra con AWS Organizations para gestionar de forma centralizada la postura de seguridad de todo el entorno multi-cuenta. Desde la cuenta de administrador se habilita Security Hub en todas las cuentas miembro y se agregan los hallazgos. La agregación entre regiones integra los hallazgos de múltiples regiones en una sola región, permitiendo comprender la situación de seguridad global. La puntuación de seguridad de toda la organización permite identificar inmediatamente en qué cuentas o regiones se concentran los riesgos de seguridad. En coordinación con AWS Firewall Manager, se pueden aplicar de forma masiva reglas WAF, Security Groups y políticas de Network Firewall a toda la organización, imponiendo una línea base de seguridad. A continuación se muestra un ejemplo de CLI para habilitar Security Hub en todas las cuentas miembro con la integración de Organizations. ```bash aws securityhub create-members \ --account-details '[{"AccountId": "111122223333"}, {"AccountId": "444455556666"}]' \ --region ap-northeast-1 aws securityhub update-organization-configuration \ --auto-enable \ --region ap-northeast-1 ``` La generación automática de informes de seguridad periódicos optimiza la presentación de informes a la dirección y la respuesta a auditorías de cumplimiento.
Precios de Security Hub
Las verificaciones de seguridad cuestan aproximadamente 0.001 dólares por verificación para las primeras 100,000 verificaciones/mes. La ingesta de hallazgos es gratuita para los primeros 10,000 hallazgos/mes, y aproximadamente 0.00003 dólares por hallazgo a partir de entonces. Limite los estándares de seguridad habilitados a los necesarios y no habilite todos los estándares de forma uniforme para gestionar el número de verificaciones. Confirme los costos reales con la prueba gratuita de 30 días antes de la implementación en producción.
Resumen - Construcción de una plataforma integrada de monitoreo de seguridad
AWS Security Hub es una plataforma integrada de monitoreo de seguridad que gestiona de forma centralizada las alertas de seguridad y el estado de cumplimiento de todo el entorno AWS. Combinando verificaciones automáticas basadas en múltiples estándares de seguridad, integración de detección de amenazas con GuardDuty, respuesta automática mediante EventBridge y gestión multi-cuenta con Organizations, se logra una gestión integral de la postura de seguridad. En comparación con Microsoft Defender for Cloud, Security Hub tiene ventajas en la estandarización de hallazgos mediante ASFF, flujos de trabajo flexibles de remediación automática a través de EventBridge e integraciones preconstruidas con más de 60 productos de socios. La evaluación cuantitativa mediante puntuación de seguridad y los ciclos de mejora continua elevan el nivel de seguridad de toda la organización.