¿Qué es AWS Security Hub? El panel que junta los avisos de todos tus servicios de seguridad, GuardDuty, Inspector, Macie, Config, en un solo sitio, y además puntúa tu cuenta contra estándares de la industria.
El problema: activas cinco servicios de seguridad y cada uno avisa en su propia consola. Cinco pestañas que nadie abre a diario. Un aviso crítico en una pestaña cerrada vale lo mismo que ninguno.
- 5 servicios
- 5 consolas
- 5 pestañas que nadie mira = avisos críticos perdidos.
¿Qué hace AWS Security Hub?
Security Hub hace dos cosas. Una: agrega los hallazgos de todo, GuardDuty, Inspector, Macie, Config y decenas de herramientas externas, en un formato común. Y dos: ejecuta chequeos automáticos contra estándares como las mejores prácticas de AWS o el benchmark CIS, y te da una puntuación de postura. La parte de postura hoy se llama Security Hub CSPM.
- Agrega TODOS los hallazgos en un formato común
- Chequea tu cuenta contra estándares (AWS Best Practices, CIS) y la puntúa.
Security Hub
Pido los hallazgos y me devuelve, ya normalizado, lo que encontró cada servicio: aquí, un bucket público que reportó Config, en severidad alta, con el recurso exacto señalado.
$ aws securityhub get-findings --max-results 1
Title: S3 bucket should block public access
Severity: HIGH · Resource: arn:aws:s3:::web-backups
Todos los servicios, un solo formato
De los servicios que alimentan este panel, el que busca vulnerabilidades en tus máquinas y contenedores es Inspector, y es
Preguntas frecuentes
¿Cuándo NO necesito AWS Security Hub?
Si tienes una sola cuenta pequeña y aún no activaste ni GuardDuty, empieza por ahí: primero ten quién avise, luego el panel que lo junta. Security Hub brilla de verdad cuando hay varias cuentas y varios servicios sonando a la vez.
¿Una cuenta chica y sin GuardDuty? Primero ten quién AVISE; el panel que junta avisos va después.
¿Cuánto cuesta AWS Security Hub?
30 días de prueba. Después, una décima de centavo por cada chequeo de seguridad, y la ingesta de hallazgos tiene 10.000 eventos gratis al mes por cuenta y región; a partir de ahí, se cobra por evento. En una cuenta normal hablamos de pocos dólares al mes.
- 30 días de prueba gratis
- $0.001 por chequeo de seguridad
- 10.000 hallazgos ingeridos GRATIS/mes
- Cuenta normal: pocos $/mes
¿Qué detalle de AWS Security Hub sorprende a casi todos?
Un aviso que nadie mira no es seguridad, es decoración. Security Hub existe para que todo suene en el mismo sitio, y ese sitio sí se mire.
Un aviso que nadie mira es decoración. Hub = que TODO suene donde SÍ miras.