AWS Config ルールの評価結果を Security Hub にインポートする方法

chittai 2021/01/05に更新

下記についてまとめる

chittai 2020/12/24

Secyruty Hubとは

Amazon GuardDutyやAmazon Inspectorなどからセキュリティ結果をインポートして集約・一元管理することができる。

chittai 2021/01/04

別アカウントを招待する時は、別アカウントでSecurityHubを有効化して、招待を受け入れるとメンバーアカウントとして関連付けされる。招待下側がマスターアカウントになる。

chittai 2021/01/04

Organizationsとの統合。あとで試してみる。

chittai 2021/01/04に更新

マスターアカウントのセキュリティ基準を無効化しても他のメンバアカウントのセキュリティ基準は無効化されない。そのため、個別アカウントに対して無効化する必要がある

有効化も同様

chittai 2021/01/04

最初のリンクについて実際に検証する

Error occurred while GetObject. S3 Error Code: PermanentRedirect. S3 Error Message: The bucket is in this region: eu-west-1. Please use this region to retry the request (Service: AWSLambdaInternal; Status Code: 400; Error Code:

普通にやるとこれが発生。ちゃんとバケットを東京リージョンに作成し、YAMLふぁいるのバケットの部分を修正すること

chittai 2021/01/05に更新

Cfnは問題ないが、Lambdaでエラー。printしている部分なので、一旦コメントアウトで回避。

[ERROR] NameError: name 'lambda_context' is not definedTraceback (most recent call last):  File "/var/task/lambda_function.py", line 109, in lambda_handler    print(lambda_context)

chittai 2021/01/05に更新

試したいこととして、まずは同じアカウントでConfigをSHにインポートしてみて、製品名がDefaultでインポートされるか確認したい。

確認できた。

chittai 2021/01/05

下記コマンドで、SHの設定を出力してみた。製品名をコントロールしているのは、ProductFieldsにおける、"aws/securityhub/ProductName": "Default",っぽい

aws securityhub get-findings

chittai 2021/01/05に更新

def map_config_findings_to_sh(event, old_recorded_time):

この関数で各パラメータの設定をしているので同じようにProductNameも設定すれば問題ないはず

各パラメータはeventから撮ってきているのでeventの中身を見てみる。

chittai 2021/01/05

ProductFieldsを設定すれば問題ないかと思ったが、結局会社はPersonalに、製品はDefaultへ修正されてしまう。

chittai 2021/01/05に更新

aws/プレフィックスは予約されているものであり、Lambdaによる更新はできなさそう。

        'ProductFields': {
                'aws/securityhub/ProductName': 'Config',
                'aws/securityhub/CompanyName': 'AWS'
            },

chittai 2021/01/05に更新

他のサービスの結果をASFFで統一している

chittai 2021/01/05

下記より、今回はConfigの結果をインポートしたいので、product/aws/configにする必要がありそう

このフィールドの形式は arn:partition:securityhub:region:account-id:product/company-id/product-id です。

セキュリティハブと統合されている AWS サービスの場合、company-id は "aws" である必要があり、product-id は AWS パブリックサービス名である必要があります。AWS 製品およびサービスはアカウントに関連付けられていないため、ARN の account-id セクションは空です。まだセキュリティハブと統合されていない AWS サービスは、サードパーティー製品と見なされます。