AWS Security Hub와 Google SecOps 통합

이 문서에서는 AWS Security Hub를 Google Security Operations (Google SecOps)와 통합하는 방법을 설명합니다.

통합 버전: 8.0

사용 사례

Google SecOps에서 AWS Security Hub 통합은 다음 사용 사례를 해결하는 데 도움이 될 수 있습니다.

  • 자동 인시던트 보강: Security Hub에서 잠재적인 보안 이벤트가 감지되면 Google SecOps 기능을 사용하여 VPC Flow Logs, GuardDuty 결과, CloudTrail 로그와 같은 다른 AWS 서비스에서 관련 컨텍스트를 자동으로 가져옵니다. 자동화된 사고 보강을 통해 분석가는 사고의 범위와 잠재적 영향을 빠르게 파악할 수 있습니다.

  • 우선순위가 지정된 해결: Google SecOps 기능을 사용하여 사전 정의된 플레이북을 기반으로 Security Hub 발견 항목에 대한 자동 응답을 트리거합니다. 예를 들어 노출된 S3 버킷과 관련된 심각도가 높은 발견 결과는 잘못된 구성을 수정하고 적절한 팀에 알리는 플레이북을 자동으로 트리거할 수 있습니다.

  • 위협 인텔리전스 통합: Google SecOps 기능을 사용하여 위협 인텔리전스 피드와 통합하고 Security Hub 결과를 알려진 악성 지표와 상호 참조합니다. 위협 인텔리전스 통합을 통해 분석가는 즉각적인 주의가 필요한 고위험 위협을 식별하고 우선순위를 지정할 수 있습니다.

  • 규정 준수 보고 및 감사: Google SecOps 기능을 사용하여 Security Hub 및 기타 소스의 보안 데이터를 집계하고 정규화하여 규정 준수 보고를 간소화합니다.

  • 취약점 관리: Google SecOps 기능을 사용하여 AWS Security Hub 취약점 스캔 기능과 통합하여 취약점 분류, 우선순위 지정, 수정 프로세스를 자동화합니다. 취약점 관리를 통해 공격 표면을 줄이고 조직의 전반적인 보안 상태를 개선할 수 있습니다.

시작하기 전에

통합이 올바르게 작동하려면 AWS에서 맞춤 ID 및 액세스 정책을 구성해야 합니다.

AWS에서 맞춤 정책을 만드는 방법에 대한 자세한 내용은 AWS 문서의 JSON 편집기를 사용하여 정책 만들기를 참고하세요.

AWS Security Hub 통합에 필요한 권한을 구성하고 맞춤 정책을 설정하려면 다음 코드를 사용하세요.

{
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "securityhub:GetMasterAccount",
                "securityhub:GetInsightResults",
                "securityhub:CreateInsight",
                "securityhub:UpdateInsight",
                "securityhub:BatchUpdateFindings",
                "securityhub:GetFindings",
                "securityhub:GetInsight",
                "securityhub:DescribeHub",
            ],
            "Resource": "*"
}

권한 구성에 대한 자세한 내용은 AWS 문서의 AWS 관리형 정책: AWSSecurityHubServiceRolePolicy을 참고하세요.

통합 매개변수

AWS Security Hub 통합에는 다음 매개변수가 필요합니다.

매개변수 설명
AWS Access Key ID 필수

통합에 사용할 AWS 액세스 키 ID입니다.
AWS Secret Key 필수

통합에서 사용할 AWS 보안 비밀 키입니다.
AWS Default Region 필수

통합에서 사용할 AWS 기본 리전입니다(예: us-west-2).

필요한 경우 이후 단계에서 변경할 수 있습니다. 인스턴스를 구성한 후에는 플레이북에서 사용할 수 있습니다. 여러 인스턴스 구성 및 지원에 대한 자세한 내용은 다중 인스턴스 지원을 참고하세요.

Google SecOps에서 통합을 구성하는 방법에 대한 안내는 통합 구성을 참고하세요.

필터 JSON 객체 파라미터 사용

Create Insight 및 Update Insight 작업의 경우 발견 사항의 필터를 구성할 수 있습니다.

AWS Security Hub에서 통계를 만들려면 시스템에서 사용할 수 있는 발견 항목에 필터를 적용하세요.

가능한 모든 구성이 포함된 필터의 구조는 다음과 같습니다.

{
    "ProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "AwsAccountId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Id": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "GeneratorId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Type": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "FirstObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "LastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "CreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "UpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "SeverityProduct": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityNormalized": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityLabel": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Confidence": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Criticality": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Title": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Description": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecommendationText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "SourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProductFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ProductName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "CompanyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "UserDefinedFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "MalwareName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwarePath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDirection": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkProtocol": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourceIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourcePort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkSourceDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceMac": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDestinationIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationPort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkDestinationDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessParentPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ProcessTerminatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorValue": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorCategory": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorLastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorSource": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorSourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourcePartition": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceRegion": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceTags": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIpV4Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceIpV6Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceKeyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIamInstanceProfileArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceVpcId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceSubnetId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceAwsS3BucketOwnerId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsS3BucketOwnerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyUserName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyCreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceContainerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceDetailsOther": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ComplianceStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "VerificationState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecordState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteUpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "NoteUpdatedBy": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Keyword": [
        {
            "Value": "string"
        }
    ]
}

심각도가 심각인 발견 항목만 반환하는 필터의 예는 다음과 같습니다.

{
    "SeverityLabel": [
        {
            "Value": "CRITICAL",
            "Comparison": "EQUALS"
        }
    ]
}

작업

AWS Security Hub 작업이 올바르게 작동하려면 특정 권한을 구성해야 합니다. 통합 권한에 대한 자세한 내용은 이 문서의 시작하기 전에 섹션을 참고하세요.

통계 만들기

Create Insight 작업을 사용하여 AWS Security Hub에서 통계를 만듭니다.

작업 입력

Create Insight 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Insight Name 필수

통계의 이름입니다.
Group By Attribute 필수

발견 항목을 그룹화할 속성의 이름입니다. 이 작업은 발견 항목을 하나의 통계로 그룹화합니다.

기본값은 AWS Account ID입니다.

가능한 값은 다음과 같습니다.

  • AWS Account ID
  • Company Name
  • Status
  • Generator ID
  • Malware Name
  • Process Name
  • Threat Intel Type
  • Product ARN
  • Product Name
  • Record State
  • EC2 Instance Image ID
  • EC2 Instance IPv4
  • EC2 Instance IPv6
  • EC2 Instance Key Name
  • EC2 Instance Subnet ID
  • EC2 Instance Type
  • EC2 Instance VPC ID
  • IAM Access Key User Name
  • S3 Bucket Owner Name
  • Container Image ID
  • Container Image Name
  • Container Name
  • Resource ID
  • Resource Type
  • Severity Label
  • Source URL
  • Type
  • Verification State
  • Workflow Status
Filter JSON Object 필수

발견 항목에 적용할 필터입니다. 필터는 다양한 속성과 값을 지정할 수 있는 JSON 객체입니다. 필터 구성에 관한 자세한 내용은 이 문서의 필터 JSON 객체 매개변수 사용 섹션을 참고하세요.

작업 출력

통계 만들기 작업을 통해 다음 출력이 제공됩니다.

작업 출력 유형 가용성
케이스 월 연결 사용할 수 없음
케이스 월 링크 사용할 수 없음
케이스 월 테이블 사용할 수 없음
보강 테이블 사용할 수 없음
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
JSON 결과

다음 예는 Create Insight 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

{
    "InsightArn": "arn:aws:securityhub:ID",
}
출력 메시지

통계 만들기 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully created 'INSIGHT_NAME" insight in AWS Security Hub.

Action wasn't able to create 'INSIGHT_NAME' insight.

 작업이 완료되었습니다.
Error executing action "Create Insight". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 Create Insight 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

Get Insight Details(통계 세부정보 가져오기)

Get Insight Details 작업을 사용하여 AWS Security Hub의 통계에 관한 자세한 정보를 반환합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

통계 세부정보 가져오기 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Insight ARN 필수

통계의 Amazon 리소스 이름 (ARN)입니다.
Max Results To Return 필수

반환할 결과 수입니다.

기본값은 50개입니다.

작업 출력

Get Insight Details 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용할 수 없음
케이스 월 링크 사용할 수 없음
케이스 월 테이블 사용 가능
보강 테이블 사용할 수 없음
JSON 결과 사용 가능
출력 메시지 사용 가능
스크립트 결과 사용 가능
케이스 월 테이블

Get Insight Details 작업은 Google SecOps에서 다음 표를 반환할 수 있습니다.

표 이름: 'NUMBER_OF_OBJECTS' 버킷 객체

열:

  • 이름 (GroupByAttributeValue로 매핑됨)
  • 개수 (Count로 매핑됨)
JSON 결과

다음 예는 Get Insight Details 작업을 사용할 때 수신되는 JSON 결과 출력을 보여줍니다.

"InsightResults": {
        "InsightArn": "arn:aws:securityhub:ID",
        "GroupByAttribute": "ResourceId",
        "ResultValues": [
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-getreportstatus",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-searchactionbug",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-unicodeandlogs",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-automation-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-awss3-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-azureactivedirectory-v-4-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-bootcamp-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-categories",
                "Count": 5
            }
        ]
    }
출력 메시지

Get Insight Details 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully returned details about Insight with ARN 'ARN' in AWS Security Hub.

작업이 완료되었습니다.
Error executing action "Get Insight Details". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 Get Insight Details 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

핑

Ping 작업을 사용하여 AWS Security Hub와의 연결을 테스트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

없음

작업 출력

Ping 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용할 수 없음
케이스 월 링크 사용할 수 없음
케이스 월 테이블 사용할 수 없음
보강 테이블 사용할 수 없음
JSON 결과 사용할 수 없음
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

Ping 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully connected to the AWS Security Hub server with the provided connection parameters!

 작업이 완료되었습니다.
Failed to connect to the AWS Security Hub! Error is ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 Ping 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

발견 항목 업데이트

발견 항목 업데이트 작업을 사용하여 AWS Security Hub의 발견 항목을 업데이트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

Update Finding 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
ID 필수

업데이트할 결과의 ID입니다.
Product ARN 필수

업데이트할 발견 항목의 제품 ARN입니다.
Note 선택사항

발견 항목 메모의 새 텍스트입니다.

이 매개변수를 구성하는 경우 Note Author 매개변수도 구성합니다.
Note Author 선택사항

메모 작성자입니다.

이 매개변수를 구성하는 경우 Note 매개변수도 구성합니다.
Severity 선택사항

발견 항목의 새로운 심각도입니다.

가능한 값은 다음과 같습니다.

  • Critical
  • High
  • Medium
  • Low
  • Informational
Verification State 선택사항

발견 항목의 새로운 확인 상태입니다.

가능한 값은 다음과 같습니다.

  • Unknown
  • True Positive
  • False Positive
  • Benign Positive
Confidence 선택사항

발견의 새로운 신뢰도입니다.

최댓값은 100입니다.
Criticality 선택사항

새로운 심각도입니다.

최댓값은 100입니다.
Types 선택사항

type1,type2와 같은 발견 결과의 유형을 쉼표로 구분한 목록입니다.
Workflow Status 선택사항

발견 항목의 새 워크플로 상태입니다.

가능한 값은 다음과 같습니다.

  • New
  • Notified
  • Resolved
  • Suppressed
Custom Fields 선택사항

업데이트할 발견 항목 맞춤 필드입니다(예: Custom_field_1:VALUE, Custom_field_2:VALUE).

작업 출력

결과 업데이트 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용할 수 없음
케이스 월 링크 사용할 수 없음
케이스 월 테이블 사용할 수 없음
보강 테이블 사용할 수 없음
JSON 결과 사용할 수 없음
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

발견 항목 업데이트 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully updated finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.

Action wasn't able to update finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.

작업이 완료되었습니다.
Error executing action "Update Findings". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 결과 업데이트 작업을 사용할 때 스크립트 결과 출력 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

인사이트 업데이트

Update Insight 작업을 사용하여 AWS Security Hub에서 통계를 업데이트합니다.

이 작업은 Google SecOps 항목에서 실행되지 않습니다.

작업 입력

Update Insight 작업에는 다음 매개변수가 필요합니다.

매개변수 설명
Insight ARN 필수

통계의 ARN입니다.
Insight Name 선택사항

통계의 이름입니다.
Group By Attribute 선택사항

결과를 그룹화할 속성의 이름입니다. 이 작업은 발견 항목을 하나의 통계로 그룹화합니다.

기본값은 AWS Account ID입니다.

가능한 값은 다음과 같습니다.

  • AWS Account ID
  • Company Name
  • Status
  • Generator ID
  • Malware Name
  • Process Name
  • Threat Intel Type
  • Product ARN
  • Product Name
  • Record State
  • EC2 Instance Image ID
  • EC2 Instance IPv4
  • EC2 Instance IPv6
  • EC2 Instance Key Name
  • EC2 Instance Subnet ID
  • EC2 Instance Type
  • EC2 Instance VPC ID
  • IAM Access Key User Name
  • S3 Bucket Owner Name
  • Container Image ID
  • Container Image Name
  • Container Name
  • Resource ID
  • Resource Type
  • Severity Label
  • Source URL
  • Type
  • Verification State
  • Workflow Status
Filter JSON Object 선택사항

발견 항목에 적용할 필터입니다. 필터는 다양한 속성과 값을 지정할 수 있는 JSON 객체입니다. 필터 구성에 관한 자세한 내용은 이 문서의 필터 JSON 객체 매개변수 사용 섹션을 참고하세요.

작업 출력

업데이트 통계 작업은 다음 출력을 제공합니다.

작업 출력 유형 가용성
케이스 월 연결 사용할 수 없음
케이스 월 링크 사용할 수 없음
케이스 월 테이블 사용할 수 없음
보강 테이블 사용할 수 없음
JSON 결과 사용할 수 없음
출력 메시지 사용 가능
스크립트 결과 사용 가능
출력 메시지

통계 업데이트 작업은 다음 출력 메시지를 반환할 수 있습니다.

출력 메시지 메시지 설명

Successfully updated 'INSIGHT_ARN' insight in AWS Security Hub

Action wasn't able to update the 'INSIGHT_ARN' insight.

 작업이 완료되었습니다.
Error executing action "Update Insight". Reason: ERROR_REASON

작업이 실패했습니다.

서버, 입력 매개변수 또는 사용자 인증 정보에 대한 연결을 확인합니다.
스크립트 결과

다음 표에는 Update Insight 작업을 사용할 때 스크립트 결과 출력의 값이 나와 있습니다.

스크립트 결과 이름 값
is_success True 또는 False

커넥터

Google SecOps에서 커넥터를 구성하는 방법에 대한 자세한 내용은 데이터 수집(커넥터)을 참고하세요.

AWS Security Hub - 발견 항목 커넥터

AWS Security Hub – 발견 항목 커넥터를 사용하여 AWS Security Hub에서 발견 항목을 가져옵니다.

커넥터에는 다음 매개변수가 필요합니다.

매개변수 설명
Product Field Name 필수

제품 이름이 저장된 필드의 이름입니다.

기본값은 Product Name입니다.
Event Field Name 필수

이벤트 이름 (하위 유형)을 결정하는 데 사용되는 필드 이름입니다.

기본값은 alertType입니다.
Environment Field Name 선택사항

환경 이름이 저장된 필드의 이름입니다.

환경 필드를 찾을 수 없으면 환경이 기본 환경입니다.

기본값은 ""입니다.
Environment Regex Pattern 선택사항

Environment Field Name 필드에 있는 값에서 실행할 정규 표현식 패턴입니다. 이 매개변수를 사용하면 정규 표현식 로직을 사용하여 환경 필드를 조작할 수 있습니다.

기본값 .*를 사용하여 필요한 원시 Environment Field Name 값을 가져옵니다.

정규 표현식 패턴이 null이거나 비어 있거나 환경 값이 null인 경우 최종 환경 결과는 기본 환경입니다.
Script Timeout (Seconds) 필수

현재 스크립트를 실행하는 Python 프로세스의 제한 시간 한도입니다.

기본값은 180입니다.
AWS Access Key ID 필수

통합에 사용할 AWS 액세스 키 ID입니다.
AWS Secret Key 필수

통합에서 사용할 AWS 보안 비밀 키입니다.
AWS Default Region 필수

통합에서 사용할 AWS 기본 리전입니다(예: us-west-2).
Lowest Severity To Fetch 필수

가져올 발견 항목의 가장 낮은 심각도입니다.

가능한 값은 다음과 같습니다.
  • Informational
  • Low
  • Medium
  • High
  • Critical
기본값은 Medium입니다.
Fetch Max Hours Backwards 선택사항

첫 번째 커넥터 반복 전에 인시던트를 가져올 시간(단위: 시간)입니다. 이 파라미터는 커넥터를 처음 사용 설정한 후 초기 커넥터 반복에만 한 번 적용됩니다.

기본값은 1시간입니다.
Max Findings To Fetch 선택사항

하나의 커넥터 반복에서 처리할 발견 항목 수입니다.

기본값은 50개입니다.
Use whitelist as a blacklist 필수

선택하면 커넥터가 동적 목록을 차단 목록으로 사용합니다.

기본적으로 선택되지 않습니다.
Verify SSL 필수

선택하면 Google SecOps에서 AWS Security Hub 서버 연결에 대한 SSL 인증서가 유효한지 확인합니다.

기본적으로 선택되어 있습니다.
Proxy Server Address 선택사항

사용할 프록시 서버의 주소입니다.
Proxy Username 선택사항

인증할 프록시 사용자 이름입니다.
Proxy Password 선택사항

인증할 프록시 비밀번호입니다.

커넥터 규칙

AWS Security Hub – Findings Connector는 프록시를 지원합니다.

도움이 더 필요하신가요? 커뮤니티 회원 및 Google SecOps 전문가로부터 답변을 받으세요.