Wie löse ich eine leere Sicherheitsbewertung oder eine „0 %“-Bewertung oder einen Compliance-Status „No Data“ (Keine Daten) in Security Hub?

Kurzbeschreibung

Es gibt mehrere Gründe, warum du die Sicherheitsbewertung oder Gesamtbewertung eines Standards in Security Hub CSPM möglicherweise nicht anzeigen kannst. In diesen Fällen siehst du entweder eine oder beide der folgenden Metriken:

• Mindestens eine Sicherheitsbewertung zeigt einen Bindestrich (-) oder 0 %.
• Der Compliance-Status lautet No data (Keine Daten) für einige oder alle aktivierten Steuerelemente, die unter diesen Standard fallen. In diesem Fall kann die Sicherheitsbewertung möglicherweise nicht generiert werden.

Security Hub CSPM generiert aus einem der folgenden Gründe möglicherweise die Daten eines Steuerelements und der Bewertung eines Standards nicht:

• Security Hub CSPM führt zum ersten Mal eine Bewertung der Steuerelemente durch.
• Du überprüfst den Standard zum ersten Mal.
• Ein AWS-Konto wurde neu übertragen oder eine Aggregationsregion wurde neu konfiguriert.
• Der Standard befindet sich im Status INCOMPLETE (unvollständigen).
• Security Hub CSPM hat keine aktiven Erkenntnisse für das Steuerelement.
• Der AWS-Config-Konfigurations-Recorder ist nicht richtig konfiguriert.
• Die AWS-Config-Servicerolle verfügt nicht über die erforderlichen Berechtigungen.
• Das Steuerelement wurde neu veröffentlicht.
• In der AWS-Region gibt es Verhaltensunterschiede.

Lösung

Hinweis: Wenn du beim Ausführen von AWS Command Line Interface (AWS CLI)-Befehlen Fehlermeldungen erhältst, findest du weitere Informationen dazu unter Problembehandlung bei der AWS CLI. Stelle außerdem sicher, dass du die neueste Version der AWS CLI verwendest.

Warte, bis die erste Auswertung der Steuerelemente abgeschlossen ist

Nachdem du Security Hub CSPM oder einen bestimmten Sicherheitsstandard aktiviert hast, führt Security Hub CSPM alle ersten Prüfungen innerhalb von 2 Stunden durch. Die Ausführung der meisten Prüfungen beginnt innerhalb von 25 Minuten. Bis ein Steuerelement seinen ersten Prüflauf abgeschlossen hat, lautet der Compliance-Status No data (Keine Daten).

Zeit für die anfängliche Berechnung der Sicherheitsbewertung einplanen

Wenn du die Seite Zusammenfassung oder Sicherheitsstandards in der Security-Hub-CSPM-Konsole zum ersten Mal aufrufst, berechnet Security Hub CSPM die anfängliche Sicherheitsbewertung für einen Standard. Dieser Vorgang dauert in der Regel 30 Minuten. Derzeit gibt es keine Bewertung für die Standards, und der Compliance-Status der Steuerelemente lautet No data (Keine Daten).

Die Konfiguration der Kontoübertragungs- oder Aggregationsregion überprüfen

Wenn du zuvor Sicherheitsbewertungen und den Compliance-Status gesehen hast, diese aber jetzt keine Daten mehr anzeigen, liegt das wahrscheinlich an einer neuen Konfiguration. Security Hub CSPM generiert Bewertungen für die Administratorkonten deiner Organisation in allen verknüpften AWS-Regionen innerhalb der Aggregationsregion.

Daher behandelt die Security-Hub-CSPM-Konsole eine neu konfigurierte Aggregationsregion oder ein neu übertragenes Konto ähnlich wie ein neu erstelltes Konto. Dies schließt Konten ein, die zwischen einem eigenständigen Konto und einem Administratorkonto wechseln. In diesem Fall gilt dieselbe Wartezeit, und innerhalb von 30 Minuten sind eine neue umfassende Bewertung und ein neuer Compliance-Status verfügbar.

Prüfen, ob sich der Standard im Status INCOMPLETE (unvollständigen) befindet

Wenn alle Steuerelemente für einen bestimmten Standard zu No Data (Keine Daten) führen, führe den AWS-CLI-Befehl get-enabled-standards aus, um zu überprüfen, ob der Status des Standards INCOMPLETE (unvollständig) ist:

aws securityhub get-enabled-standards --standards-subscription-arn STANDARDS_SUBSCRIPTION_ARN

Hinweis: Ersetze STANDARDS_SUBSCRIPTION_ARN durch den ARN des Standardabonnements.

Der Status INCOMPLETE (unvollständig) tritt auf, wenn Security Hub CSPM nicht alle aktivierten Steuerelemente im Standard erstellen kann. Security Hub CSPM wiederholt Standards, die sich im Status INCOMPLETE (unvollständig) befinden, ungefähr alle 12 Stunden, bis der Status READY (bereit) lautet. Security Hub CSPM versucht es aus einem der folgenden Gründe weiterhin:

• Der Konfigurations-Recorder ist in deinem Konto nicht aktiviert.
• Wenn du Steuerelemente erstellst, können vorübergehende Probleme wie Drosselung oder API-Ausfälle dazu führen, dass ein Standard in den Status INCOMPLETE (unvollständig) wechselt.

Um dieses Problem zu beheben, überprüfe zunächst den Konfigurations-Recorder, um sicherzustellen, dass du ihn aktiviert und richtig konfiguriert hast. Deaktiviere und reaktiviere anschließend die Sicherheitsstandard-Abonnements.

Sicherstellen, dass das Steuerelement Erkenntnisse hat

Wenn Security Hub CSPM länger als 2 Stunden ausgeführt wird und der Compliance-Status für ein Steuerelement No data (Keine Daten) lautet, liegen für das Steuerelement keine Erkenntnisse vor. Die folgenden Szenarien sind Gründe dafür, dass keine Erkenntnisse vorliegen:

• Ein neues Steuerelement hat den Status No data (Keine Daten), bis es beginnt, Erkenntnisse zu generieren. Bei neu aktivierten Steuerelementen dauert es in der Regel 2 Stunden, bis Erkenntnisse vorliegen, es kann jedoch bis zu 18 Stunden dauern. Nachdem das Steuerelement Erkenntnisse generiert hat, kann es bis zu 24 Stunden dauern, bis die Bewertung aktualisiert wird.
• Alle Erkenntnisse der Kontrollen sind SUPPRESSED (unterdrückt).
• Das Steuerelement generiert keine Erkenntnisse. Dies tritt auf, wenn du keine Ressourcen für das Steuerelement hast.

Konfiguration des AWS-Config-Konfigurations-Recorders

Security Hub CSPM verwendet serviceverknüpfte AWS-Config-Regeln, um die meisten Sicherheitsprüfungen für Steuerelemente durchzuführen. Um diese Steuerelemente zu unterstützen, musst du AWS Config auf allen Konten aktivieren. Dies umfasst sowohl das Administratorkonto als auch die Mitgliedskonten in jeder AWS-Region, in der Security Hub CSPM aktiviert ist.

Wenn die aktivierten Steuerelemente keine Erkenntnisse generieren, überprüfe, ob der Konfigurations-Recorder, der sich in derselben AWS-Region befindet, richtig konfiguriert ist. Um die erforderlichen Erkenntnisse zu generieren, konfiguriere den Konfigurations-Recorder so, dass die erforderliche Ressourcen-Compliance für Security Hub CSPM erreicht wird.

Gehe wie folgt vor:

1. Aktiviere AWS Config und den Konfigurations-Recorder. Konfiguriere den Konfigurations-Recorder so, dass er die erforderlichen Ressourcentypen mit einem korrekt konfigurierten Bereitstellungskanal für jede AWS-Region aufzeichnet, in der du Security Hub CSPM aktiviert hast.
   Hinweis: Bevor du mit Schritt 2 fortfährst, warte, bis der Konfigurations-Recorder die gesamte Bestandsaufnahme durchgeführt hat. Um den Status zu überprüfen, rufe die Seite Einstellungen in der AWS-Config-Konsole auf. Wenn sich der Konfigurations-Recorder immer noch im Status Taking inventory (Bestandsaufnahme) befindet, ist der Bereitstellungskanal nicht richtig konfiguriert. Erstelle in diesem Fall den Bereitstellungskanal neu.
2. Öffne die Security-Hub-CSPM-Konsole.
3. Deaktiviere den Standard, bei dem keine Bewertung als 0 % oder**-** dargestellt wird.
4. Warte 20 bis 30 Minuten, um vorübergehende Probleme zu vermeiden, und aktiviere dann den Sicherheitsstandard wieder. Dies veranlasst Security Hub CSPM, alle erforderlichen AWS-Config-Regeln zu erstellen.
   Hinweis: Security Hub CSPM erstellt AWS-Config-Regeln nur innerhalb von 31 Tagen nach der Aktivierung des Standards.

Die Berechtigungen für die AWS-Config-Servicerolle überprüfen

Die meisten Security-Hub-CSPM-Steuerelemente sind mit einer AWS-Config-Regel verknüpft. Wenn ein Steuerelement No data (Keine Daten) zurückgibt, verwendet AWS Config möglicherweise eine Servicerolle anstelle einer serviceverknüpften Rolle, die nicht über die erforderlichen Berechtigungen verfügt.

Um zu überprüfen, ob AWS Config die zugehörige Regel auswertet, führe den folgenden AWS-CLI-Befehl describe-config-rule-evaluation-status aus.

aws configservice describe-config-rule-evaluation-status --config-rule-names my-config-rule

Wenn die Servicerolle nicht über die erforderlichen Berechtigungen zum Auswerten der Regel verfügt, wird eine Ausgabe mit einer Fehlermeldung mit zusätzlichen Informationen angezeigt. Beispielsweise wird eine Meldung wie additional permissions needed angezeigt.

Prüfen, ob das Steuerelement kürzlich freigegeben wurde

Wenn AWS kürzlich eine Reihe von Steuerelementen eingeführt hat, sind deren Bewertungen für einen bestimmten Zeitraum nicht verfügbar. Wenn eine Auswertung der Bewertung beginnt, wenn ein Steuerelement freigegeben wird, kann es bis zu 24 Stunden dauern, bis die nächste erfolgreiche Auswertung der Bewertung abgeschlossen ist.

Die neuesten Updates für Security Hub CSPM findest du unter Dokumentenverlauf für das AWS-Security Hub-Benutzerhandbuch.

Das regionale Verhalten für das Steuerelement überprüfen

Es gibt Situationen, in denen ein Standard aufgrund regionaler Unterschiede No data (Keine Daten) anzeigt.

Einige Standards, wie CIS 2.3 und CIS 2.6, zeigen manchmal No data (Keine Daten) an. Dies passiert, wenn AWS CloudTrail Protokolle in einem einzigen, zentralisierten Amazon Simple Storage Service (Amazon S3)-Bucket aggregiert und speichert. In diesem Fall führt Security Hub CSPM die Prüfung nur für das Konto und die AWS-Region durch, in der sich der zentralisierte Amazon-S3-Bucket befindet. Daher sind die Daten nur dort verfügbar, wo sich der zentralisierte S3-Bucket befindet, und das Steuerelement zeigt No data (Keine Daten) in anderen Regionen an.

Bei fast allen CIS 3.1-3.14- und CIS 1.1-Steuerelementen führt die Security-Hub-CSPM-Prüfung in den folgenden Fällen zum Steuerelement-Status No data (Keine Daten). Wenn sich der multiregionale Trail in einer anderen Region befindet, kann Security Hub CSPM Erkenntnisse nur in der Region generieren, in der der Trail basiert ist. Wenn der multiregionale Trail zu einem anderen Konto gehört, kann Security Hub CSPM Erkenntnisse nur für das Konto generieren, dem der Trail gehört. Security Hub CSPM unterstützt das Steuerelement in einer bestimmten Region nicht. Diese Steuerelemente werden nur dann in nicht unterstützten Regionen aufgeführt, wenn du die Aggregationsregion (regionsübergreifend oder kontoübergreifend) aktivierst. Informationen zur Überprüfung, ob ein Steuerelement in einer bestimmten Region unterstützt wird, findest du unter Verfügbarkeit von Steuerelementen nach Region.