Tarification d’AWS Security Hub

Security Hub propose un essai gratuit de 30 jours qui inclut les fonctionnalités de la formule Security Hub de base, qui utilise une tarification basée sur les ressources. Chaque compte AWS de chaque région bénéficie d’un essai gratuit, et vous restez éligible même si vous avez déjà utilisé les essais gratuits d’AWS Security Hub CSPM ou d’Amazon Inspector. Les fonctionnalités supplémentaires, notamment la formule d’analytique des menaces d’Amazon GuardDuty et l’analyse de code AWS Lambda optimisée par Amazon Inspector, ne sont pas incluses dans la version d’essai gratuite de Security Hub. Après l’essai gratuit, les coûts dépendent des ressources AWS que vous surveillez (instances EC2, images de conteneurs, fonctions Lambda, utilisateurs/rôles IAM) et de l’utilisation de la formule d’analytique des menaces (événements CloudTrail et volume de données de journal).

Security Hub propose la formule de base par défaut, avec la possibilité d’ajouter une formule d’analytique des menaces ou des fonctionnalités d’analyse de code Lambda selon les besoins. La formule de base comprend l’analytique des risques, ainsi que la gestion des vulnérabilités, de la posture de sécurité et des réponses en matière de sécurité. La formule d’analytique des menaces intègre une surveillance de l’activité des comptes AWS propulsée par Amazon GuardDuty, des journaux de flux VPC, des journaux DNS et d’autres données de sécurité. Consultez la section des détails de la formule pour une description complète des fonctionnalités.

La formule Security Hub de base fournit une protection dans quatre domaines clés :

• Analytique de l’exposition et des risques : identifie et hiérarchise automatiquement vos problèmes de sécurité les plus critiques en corrélant les résultats obtenus dans l’ensemble de votre environnement, ce qui vous permet de vous concentrer sur l’essentiel et de réagir plus rapidement aux menaces.
• Gestion des vulnérabilités : analyse en permanence vos instances EC2, vos images de conteneurs et vos fonctions Lambda pour détecter les vulnérabilités logicielles et les faiblesses de configuration, ce qui vous permet de corriger les failles de sécurité avant qu’elles ne soient exploitées.
• Gestion de la posture de sécurité : évalue votre environnement AWS par rapport aux normes de sécurité et aux bonnes pratiques du secteur afin d’identifier les erreurs de configuration, ce qui vous permet de maintenir la conformité et de réduire votre surface d’attaque.
• Gestion des réponses de sécurité : fournit une vue centralisée de vos résultats de sécurité grâce à des flux de travail automatisés, permettant à votre équipe d’étudier et de résoudre les problèmes plus efficacement dans l’ensemble de votre environnement AWS.

Ensemble, ces fonctionnalités vous aident à réduire les risques de sécurité, à améliorer la productivité de votre équipe et à maintenir une posture de sécurité robuste sur l’ensemble de votre infrastructure cloud.

Oui, Security Hub surveille toutes les ressources AWS pertinentes de votre environnement afin de fournir une couverture de sécurité plus complète. La tarification de la formule de base est fondée sur quatre types de ressources : les instances EC2, les images de conteneurs ECR, les fonctions Lambda et les utilisateurs et rôles IAM. Ce modèle de tarification simplifié facilite l’estimation et la gestion de vos coûts Security Hub.

Non, vous n’avez pas besoin des deux formules. La formule Security Hub de base est le niveau de couverture par défaut dont vous bénéficiez lorsque vous activez Security Hub et est requise pour toutes les fonctionnalités de Security Hub. Elle fournit des fonctionnalités de sécurité, notamment l’analytique de l’exposition au risque, ainsi que la gestion des vulnérabilités, de la posture de sécurité et des réponses en matière de sécurité. La formule d’analytique des menaces est un module complémentaire qui enrichit la formule de base grâce à des fonctionnalités de surveillance des menaces optimisées par Amazon GuardDuty.

Cette formule ne peut pas être utilisée seule : elle a besoin de la formule Security Hub de base comme socle. Bien que la plupart des fonctionnalités de la formule de base fonctionnent indépendamment, la protection contre les programmes malveillants pour Amazon EC2 constitue un cas particulier : elle est incluse dans la formule de base, mais ne fonctionne que lorsque la formule d’analytique des menaces est également active, car elle repose sur la détection des menaces de GuardDuty pour identifier les activités suspectes avant de rechercher des logiciels malveillants.

Vous pouvez commencer avec la formule de base et ajouter les fonctionnalités d’analytique des menaces ultérieurement à mesure que vos besoins en matière de surveillance de la sécurité évoluent.

AWS fournit un outil d’estimation des coûts pour vous aider à estimer les coûts de Security Hub avant d’activer le service. Consultez la page Security Hub Cost Estimator page pour plus de détails.

La formule Security Hub de base combine les fonctionnalités d’Amazon Inspector et d’AWS Security Hub CSPM dans un modèle de tarification unique et prévisible basé sur les ressources qui simplifie les coûts tout en améliorant les opérations de sécurité.

Les clients existants d’Amazon Inspector bénéficient d’une gestion rationalisée des vulnérabilités grâce à une tarification unifiée des ressources pour les analyses des instances EC2 (avec ou sans agent), à des évaluations CIS Benchmark illimitées, à des coûts de surveillance des images de conteneurs ECR prévisibles et à des taux mensuels fixes de surveillance des fonctions Lambda. Ce regroupement élimine la complexité liée à la gestion de plusieurs modèles de tarification tout en fournissant une couverture complète des vulnérabilités.

Les clients de Security Hub CSPM bénéficient de la transition d’une tarification basée sur l’utilisation à une tarification basée sur les ressources, tout en profitant de fonctionnalités de corrélation des vulnérabilités plus complètes, de contrôles de sécurité illimités et d’ingestions de résultats, ainsi que d’une surveillance de conformité améliorée par rapport aux normes du secteur grâce à une corrélation automatique avec les données de vulnérabilité d’Amazon Inspector. Cette évolution assure la prévisibilité des coûts tout en élargissant les capacités de sécurité.

Au-delà de la consolidation des coûts, la formule de base de Security Hub transforme les opérations de sécurité de tous les clients en corrélant automatiquement les résultats en matière de vulnérabilités avec les contrôles de conformité, réduisant ainsi le bruit des alertes grâce à la hiérarchisation de l’exposition au risque. Les équipes de sécurité peuvent se concentrer sur les risques contextualisés qui combinent la gravité des vulnérabilités avec l’exposition du réseau et les lacunes de conformité, tout en bénéficiant d’opérations centralisées, de flux de travail de correction automatisés et de la flexibilité nécessaire pour développer une détection des menaces plus complète à mesure que les besoins de sécurité évoluent.

La facturation existante de services de sécurité passe sans problème à la tarification rationalisée de Security Hub, sans aucune action requise. Vous devrez régler des frais consolidés dans le cadre de Security Hub au lieu de factures de service distinctes pour les fonctionnalités incluses dans les formules Security Hub.

Security Hub offre une flexibilité au niveau des comptes au sein d’AWS Organizations. Lorsque vous activez Security Hub dans un compte, celui-ci bénéficie d’une tarification rationalisée pour tous les services de sécurité. Lorsque vous n’activez pas Security Hub dans un compte, celui-ci bénéficie d’une tarification de service individuelle pour chaque service de sécurité. Cela signifie qu’au sein d’une même organisation AWS, certains comptes peuvent bénéficier du modèle de tarification rationalisé de Security Hub, tandis que d’autres continuent à utiliser la tarification de services individuels. Cela est déterminé au niveau du compte spécifique en fonction de l’activation ou non de Security Hub sur celui-ci.

Instances EC2 : nombre moyen d’instances EC2 = (total d’heures d’instances actives/nombre d’heures dans un mois, c’est-à-dire 720 heures). Par exemple, vous avez 3 instances qui étaient actives pour différentes durées pendant un mois : la première pendant 360 heures, la deuxième pendant 350 heures et la troisième pendant 10 heures, pour un total de 720 heures d’instances actives. Par conséquent, total de 720 heures d’instances analysées ce mois-là / 720 heures dans le mois = 1 instance EC2 en moyenne.

Images de conteneurs : nombre d’images de conteneurs analysées = nombre d’images de conteneurs transmises à Amazon ECR chaque mois, plus nombre d’images de conteneurs susceptibles d’être à nouveau analysées au cours du mois, en fonction de la configuration de nouvelle analyse d’Amazon Inspector. Amazon Inspector effectue une analyse initiale de chaque image de conteneur transmise à Amazon ECR. En outre, Amazon Inspector analyse à nouveau les images de conteneurs à la recherche de nouvelles vulnérabilités en fonction des délais que vous configurez pour la date de transmission de l’image, la date d’extraction de l’image et la date de dernière utilisation de l’image. Exemple : vous avez 5 000 images dans votre référentiel Amazon ECR et vous transférez 500 images supplémentaires vers Amazon ECR en un mois. Vous avez configuré la surveillance des images pendant 14 jours en fonction de la dernière date d’utilisation. Au cours du mois, 75 images de conteneurs provenant du référentiel sont déployées sur des clusters Amazon ECS ou Amazon EKS. Amazon Inspector surveille et facture en fonction de la durée réelle de surveillance de chaque image dans la fenêtre que vous avez configurée. Cela inclut à la fois les 75 images actives pendant leur utilisation et les 500 images récemment transmises pendant leurs périodes de surveillance respectives. Veuillez noter que les frais ne s’appliquent que pour la durée pendant laquelle chaque image est réellement surveillée (jusqu’à 14 jours par défaut), pas nécessairement pour le mois entier. Cette période de surveillance peut être personnalisée en fonction de vos besoins.

Fonctions Lambda : les fonctions Lambda éligibles sont basées sur les fonctions marquées $LATEST et ont été invoquées ou mises à jour au cours des 90 derniers jours. Nombre moyen de fonctions Lambda = (nombre total d’heures de couverture de Security Hub pour une fonction Lambda) / (nombre d’heures dans un mois, soit 720 heures). Les heures de couverture de Security Hub représentent le délai entre le déploiement de la fonction Lambda et sa suppression.

Exemple : vous avez 3 fonctions Lambda déployées qui ont été surveillées par Security Hub pendant différentes périodes au cours d’un mois : la première pendant 720 heures, la deuxième pendant 350 heures et la troisième pendant 10 heures, soit un total de 1 080 heures de fonctions Lambda déployées analysées. Par conséquent, total de 1 080 heures de fonctions Lambda analysées ce mois-là / 720 heures dans le mois = 1,5 fonction Lambda en moyenne.

Utilisateurs et rôles IAM : nombre moyen d’utilisateurs et de rôles IAM = nombre d’utilisateurs ou de rôles IAM qui existaient au cours du mois, au prorata quotidien.

Les fonctionnalités qui ne sont pas explicitement répertoriées dans les formules Security Hub continuent d’être facturées via leurs services d’origine. Par exemple, vous ne recevrez une facture GuardDuty que pour les fonctionnalités restantes de GuardDuty qui ne sont pas incluses dans la formule d’analytique des menaces.

Oui, des services individuels tels qu’Amazon Inspector, GuardDuty et Security Hub CSPM restent disponibles à leur tarification standard lorsque Security Hub n’est pas activé.