Precios de AWS Security Hub

Security Hub ofrece una prueba gratuita de 30 días que incluye las funciones del plan básico de Security Hub, con un sistema de precios basados en los recursos. Todas las cuentas de AWS de cada región reciben una prueba gratuita y usted seguirá cumpliendo los requisitos aunque haya utilizado con anterioridad las pruebas gratuitas de AWS Security Hub CSPM o Amazon Inspector. La prueba gratuita de Security Hub no incluye funciones adicionales, como el plan de análisis de amenazas de Amazon GuardDuty y el análisis de código AWS Lambda con tecnología de Amazon Inspector. Tras la prueba gratuita, los costos se basan en los recursos de AWS que supervise (instancias de EC2, imágenes de contenedores, funciones de Lambda, usuarios o roles de IAM) y en el uso del plan de análisis de amenazas (volumen de datos de registro y eventos de CloudTrail).

Security Hub ofrece el plan básico de forma predeterminada, con la posibilidad de agregar un plan de análisis de amenazas o capacidades de análisis de código de Lambda según sea necesario. El plan básico incluye el análisis de riesgos, la administración de vulnerabilidades, la administración de la postura de seguridad y la administración de la respuesta de seguridad. El plan de análisis de amenazas incluye supervisión basada en Amazon GuardDuty de la actividad de las cuentas de AWS, los registros de flujo de VPC, los registros de DNS y otros datos de seguridad. Consulta la sección de detalles del plan para ver descripciones completas de las características.

El plan básico de Security Hub ofrece protección de seguridad en cuatro áreas clave:

• Análisis de riesgos y exposición: identifica y prioriza de manera automática sus problemas de seguridad más críticos al correlacionar los resultados en todo su entorno, lo que le ayuda a centrarse en lo que más importa y a responder más rápido a las amenazas.
• Administración de vulnerabilidades: analiza de manera continua las instancias de EC2, las imágenes de contenedores y las funciones de Lambda en busca de vulnerabilidades de software y puntos débiles de configuración, lo que le permite corregir las brechas de seguridad antes de que puedan explotarse.
• Administración de la postura de seguridad: evalúa su entorno de AWS de acuerdo con los estándares de seguridad del sector y las prácticas recomendadas para identificar errores de configuración, lo que le ayuda a mantener el cumplimiento y reducir la superficie expuesta a ataques.
• Administración de respuestas de seguridad: proporciona una vista centralizada de sus resultados de seguridad con flujos de trabajo automatizados, lo que permite a su equipo investigar y solucionar los problemas de manera más eficiente en todo su entorno de AWS.

En conjunto, estas capacidades lo ayudan a reducir los riesgos de seguridad, mejorar la productividad del equipo y mantener una postura de seguridad sólida en toda su infraestructura en la nube.

Sí, Security Hub supervisa todos los recursos de AWS relevantes de su entorno para ofrecer una cobertura de seguridad más completa. Los precios del plan básico se basan en cuatro tipos de recursos: instancias de EC2, imágenes de contenedores de ECR, funciones de Lambda y usuarios y roles de IAM. Este modelo de precios simplificado facilita la estimación y la administración de los costos de Security Hub.

No, no necesita ambos planes. El plan básico de Security Hub es el nivel de cobertura predeterminado que recibe al activar Security Hub y es obligatorio para todas las funciones de Security Hub. Proporciona capacidades de seguridad que incluyen el análisis de riesgos y exposiciones, la administración de vulnerabilidades, la administración de la postura de seguridad y la administración de la respuesta de seguridad. El plan de análisis de amenazas es un complemento que mejora su plan esencial con funciones de supervisión de amenazas basadas en Amazon GuardDuty.

El plan de análisis de amenazas no se puede usar solo: requiere el plan básico de Security Hub como base. Si bien la mayoría de las características del plan básico funcionan de forma independiente, la protección contra el malware para Amazon EC2 es un caso especial: está incluida en el plan básico, pero solo funciona cuando también tiene el plan de análisis de amenazas activo, ya que se basa en la detección de amenazas de GuardDuty para identificar actividades sospechosas antes de analizar en busca de malware.

Puede comenzar solo con el plan básico y agregar capacidades de análisis de amenazas más adelante a medida que evolucionen sus necesidades de supervisión de seguridad.

AWS proporciona una herramienta de estimación de costos que le ayuda a estimar los costos de Security Hub antes de activar el servicio. Consulte la página del estimador de costos de Security Hub para obtener más información.

El plan básico de Security Hub combina las capacidades de Amazon Inspector y AWS Security Hub CSPM en un modelo de precios único y predecible basado en los recursos que simplifica los costos y mejora las operaciones de seguridad.

Los clientes de Amazon Inspector existentes obtienen una administración de vulnerabilidades optimizada con precios de recursos unificados para los análisis de instancias de EC2 (tanto basados en agentes como sin agentes), evaluaciones ilimitadas de puntos de referencia del CIS, costos predecibles de supervisión de imágenes de contenedores de ECR y tasas mensuales fijas de supervisión de funciones de Lambda. Esta consolidación elimina la complejidad de administrar varios modelos de precios y, al mismo tiempo, proporciona cobertura integral de vulnerabilidades.

Los clientes de Security Hub CSPM se benefician de la transición de precios basados en el uso a precios basados en los recursos y, al mismo tiempo, obtienen capacidades de correlación de vulnerabilidades más completas, controles de seguridad e ingesta de resultados ilimitados y una supervisión mejorada del cumplimiento con respecto a los estándares del sector mediante una correlación automática con los datos de vulnerabilidad de Amazon Inspector. Este cambio permite predecir los costos y, al mismo tiempo, amplía las capacidades de seguridad.

Más allá de la consolidación de costos, el plan básico de Security Hub transforma las operaciones de seguridad de todos los clientes mediante la correlación automática de los resultados de vulnerabilidad con los controles de cumplimiento, lo que reduce el ruido de las alertas mediante la priorización de la exposición. Los equipos de seguridad pueden centrarse en los riesgos contextualizados que combinan la gravedad de las vulnerabilidades con la exposición de la red y las brechas de cumplimiento, al tiempo que se benefician de operaciones centralizadas, flujos de trabajo de remediación automatizados y la flexibilidad de expandirse hacia una detección de amenazas más completa a medida que evolucionan las necesidades de seguridad.

La facturación actual de los servicios de seguridad pasa sin problemas a los precios simplificados de Security Hub, sin necesidad de realizar ninguna acción. Recibirá cargos consolidados en Security Hub en lugar de facturas de servicio separadas por las funciones incluidas en los planes de Security Hub.

Security Hub proporciona flexibilidad a nivel de cuenta en AWS Organizations. Cuando activa Security Hub en una cuenta, esa cuenta recibe precios simplificados en todos los servicios de seguridad. Cuando no activa Security Hub en una cuenta, esa cuenta usa los precios de servicio individuales para cada servicio de seguridad. Esto significa que, dentro de una sola organización de AWS, puede tener algunas cuentas que utilicen el modelo de precios simplificado de Security Hub, mientras que otras cuentas seguirán con precios de servicio individuales, que se determinan a nivel de cuenta en función de si Security Hub está activado en esa cuenta específica.

Instancias de EC2: cantidad promedio de instancias de EC2 = (total de horas de instancias activas/número de horas en un mes, es decir, 720 horas). Por ejemplo, tiene 3 instancias que estuvieron activas durante diferentes períodos de tiempo a lo largo de un mes: la primera durante 360 horas, la segunda durante 350 horas y la tercera durante 10 horas, lo que suma un total de 720 horas de instancias activas. Por lo tanto, un total de 720 horas de análisis de instancias ese mes/720 horas en el mes = promedio de 1 instancia de EC2.

Imágenes de contenedor: número de imágenes de contenedor analizadas = número de imágenes de contenedor que se envían a Amazon ECR cada mes más el número de imágenes de contenedor que se pueden volver a analizar durante el mes, según la configuración de repetición de análisis de Amazon Inspector. Amazon Inspector realiza un análisis inicial de cada imagen de contenedor que se envía a Amazon ECR. Además, Amazon Inspector vuelve a analizar las imágenes de los contenedores en busca de nuevas vulnerabilidades en función de los plazos que configure para la fecha de publicación de la imagen, la fecha de extracción de la imagen y la fecha de la última vez que se usó la imagen. Ejemplo: tiene 5000 imágenes en su repositorio de Amazon ECR y envía 500 imágenes adicionales a Amazon ECR en un mes. Ha configurado la supervisión de imágenes para 14 días en función de la última fecha de uso. Durante el mes, se implementan 75 imágenes de contenedores del repositorio en clústeres de Amazon ECS o Amazon EKS. Amazon Inspector supervisa y cobra en función de la duración real de la supervisión de cada imagen dentro del período configurado; esto incluye tanto las 75 imágenes activas mientras permanecen en uso como las 500 imágenes recién insertadas para sus respectivos períodos de supervisión. Tenga en cuenta que los cargos se aplican solo durante el tiempo que se supervisa realmente cada imagen (hasta 14 días de forma predeterminada), no necesariamente durante todo el mes, y este período de supervisión puede personalizarse según sus necesidades.

Funciones de Lambda: las funciones de Lambda aptas se basan en funciones marcadas como $LATEST y que se invocaron o actualizaron en los últimos 90 días. Cantidad promedio de funciones de Lambda = (horas totales de cobertura de Security Hub para una función de Lambda) / (cantidad de horas en un mes, es decir, 720 horas). Las horas de cobertura de Security Hub representan el tiempo transcurrido entre la implementación de la función de Lambda y el momento en que se elimina.

Ejemplo: ha implementado 3 funciones de Lambda que Security Hub supervisó durante diferentes cantidades de tiempo a lo largo de un mes: la primera durante 720 horas, la segunda durante 350 horas y la tercera durante 10 horas, lo que suma un total de 1080 horas de análisis de funciones de Lambda implementadas. Por lo tanto, un total de 1080 horas de análisis de funciones de Lambda ese mes/720 horas en el mes = promedio de 1,5 funciones de Lambda.

Usuarios y roles de IAM: cantidad promedio de usuarios y roles de IAM = número de usuarios o roles de IAM que existieron durante el mes, prorrateado por días.

Las capacidades que no figuran de manera explícita en los planes de Security Hub se siguen facturando a través de sus servicios originales. Por ejemplo, solo recibirá la facturación de GuardDuty por las capacidades restantes de GuardDuty que no estén incluidas en el plan de análisis de amenazas.

Sí, los servicios individuales como Amazon Inspector, GuardDuty y Security Hub CSPM permanecen disponibles con sus precios estándar cuando Security Hub no está activado.