Цены на AWS Security Hub

Security Hub предоставляет 30-дневный бесплатный пробный период, который включает возможности плана Essentials с моделью тарификации, основанной на ресурсах. Каждый аккаунт AWS в каждом регионе получает такой пробный период, при этом вы сохраняете право на него даже если ранее использовали бесплатные тестовые периоды AWS Security Hub CSPM или Amazon Inspector. Дополнительные функции – такие как Threat Analytics (на базе Amazon GuardDuty), сканирование кода AWS Lambda (на базе Amazon Inspector) и план Extended – в бесплатный пробный период не включены. После окончания пробного периода стоимость рассчитывается исходя из используемых ресурсов AWS (инстансов EC2, образов контейнеров, функций Lambda, пользователей и ролей IAM), а также использования Threat Analytics (объема событий CloudTrail и данных журналов).

Security Hub предлагает план Essentials как базовый, с возможностью подключения дополнительных функций – Threat Analytics и Lambda Code Scanning – при необходимости. План Essentials включает анализ рисков, управление уязвимостями, контроль состояния безопасности и реагирования на инциденты. Threat Analytics добавляет мониторинг активности аккаунтов AWS на базе Amazon GuardDuty, включая анализ журналов потоков VPC, журналов DNS и других источников данных безопасности. План Extended предоставляет расширенный корпоративный уровень защиты с интеграцией решений партнеров в таких областях, как конечные устройства, идентификация, электронная почта, сеть, данные, браузеры, облако, искусственный интеллект и операции безопасности. Полное описание функций см. в разделе планов.

План Security Hub Essentials обеспечивает защиту в четырех ключевых направлениях.

• Аналитика рисков и уязвимостей. Автоматически выявляет и приоритизирует наиболее критичные проблемы безопасности, сопоставляя полученные данные из разных источников в вашей среде. Это помогает сосредоточиться на действительно значимых угрозах и быстрее реагировать на инциденты.
• Управление уязвимостями. Непрерывно проверяет инстансы EC2, образы контейнеров и функции Lambda на наличие уязвимостей и ошибок конфигурации, позволяя устранять проблемы до их потенциального использования злоумышленниками.
• Управление состоянием безопасности. Оценивает вашу инфраструктуру AWS в соответствии с отраслевыми стандартами и лучшими практиками, выявляя некорректные настройки и помогая снижать площадь атаки.
• Управление реагированием на инциденты. Предоставляет централизованный обзор всех полученных данных о событиях безопасности и автоматизирует рабочие процессы, облегчая расследование и устранение проблем во всей облачной среде AWS.

В совокупности эти возможности помогают снижать риски, повышать эффективность команд и поддерживать устойчивый уровень безопасности облачной инфраструктуры.

Да, Security Hub отслеживает все соответствующие ресурсы AWS в вашей среде, обеспечивая более полное покрытие безопасности. Стоимость плана Essentials рассчитывается на основе четырех типов ресурсов: инстансов EC2, образов контейнеров ECR, функций Lambda, а также пользователей и ролей IAM. Такая упрощенная модель тарификации позволяет легче прогнозировать и контролировать расходы на использование Security Hub.

Нет, оба плана не требуются. План Security Hub Essentials включается по умолчанию при активации Security Hub и является базовым уровнем, необходимым для работы всего функционала сервиса. Он включает возможности анализа рисков и уязвимостей, управления ими, контроля состояния безопасности и реагирования на инциденты. План Threat Analytics – это дополнительный модуль, который расширяет базовые возможности за счет мониторинга угроз на основе данных Amazon GuardDuty.

Он не может использоваться самостоятельно и всегда требует наличия Security Hub Essentials как основы. Большинство функций базового плана Essentials работают независимо, однако защита от вредоносного ПО для Amazon EC2 является исключением: она входит в план Essentials, но функционирует только при включенном плане Threat Analytics, поскольку использует механизмы обнаружения угроз GuardDuty для выявления подозрительной активности перед запуском проверки на вредоносное ПО.

Вы можете начать только с плана Essentials и подключить Threat Analytics позже по мере роста потребностей в мониторинге безопасности.

AWS предоставляет инструмент оценки стоимости, который помогает рассчитать расходы на Security Hub до активации сервиса. Этот калькулятор охватывает план Essentials и дополнительные возможности (Threat Analytics и сканирование кода Lambda), однако не включает тарифы плана Extended. Дополнительные сведения см. на странице Калькулятора стоимости Security Hub.

План Security Hub Essentials объединяет возможности Amazon Inspector и AWS Security Hub CSPM в единую модель тарификации, основанную на ресурсах, что упрощает расчет затрат и одновременно улучшает управление безопасностью.

Для клиентов Amazon Inspector это означает более удобное управление уязвимостями за счет единой системы учета ресурсов: сканирование инстансов EC2 (как с агентом, так и без него), неограниченные проверки оценочного тестирования CIS, предсказуемая стоимость мониторинга образов контейнеров ECR и фиксированная ежемесячная плата за контроль функций Lambda. Такое объединение избавляет от необходимости работать с разными моделями оплаты и обеспечивает полное покрытие уязвимостей.

Для пользователей Security Hub CSPM переход на план Essentials означает смену модели с оплатой по факту использования на ресурсную модель, а также расширенные возможности сопоставления уязвимостей, неограниченное количество проверок безопасности и приемов полученных данных, усиленный контроль соответствия отраслевым стандартам и автоматическую корреляцию с данными об уязвимостях Amazon Inspector. Это обеспечивает предсказуемость расходов и расширяет функциональность безопасности.

Помимо объединения стоимости, план Security Hub Essentials улучшает процессы безопасности для всех пользователей за счет автоматического сопоставления уязвимостей полученных данных с проверками соответствия, а также снижения количества лишних оповещений благодаря приоритизации рисков. Команды безопасности могут сосредоточиться на наиболее значимых угрозах, учитывающих критичность уязвимостей, сетевую доступность и нарушения политик, при этом получая централизованное управление, автоматизацию реагирования и возможность постепенно подключать расширенные функции обнаружения угроз по мере роста потребностей.

Существующая система оплаты за сервисы безопасности автоматически переходит на упрощенную модель тарификации Security Hub без необходимости каких-либо действий с вашей стороны. Вместо отдельных счетов за каждый сервис вы будете получать объединенные начисления через Security Hub за те возможности, которые входят в его планы.

Security Hub обеспечивает гибкость на уровне отдельных аккаунтов в Организациях AWS. Когда вы включаете Security Hub в аккаунте, для этого аккаунта применяется упрощенная модель тарификации для сервисов безопасности. Если же Security Hub в аккаунте не активирован, то каждый сервис безопасности оплачивается отдельно по стандартным тарифам. Таким образом, в одной Организации AWS могут одновременно существовать аккаунты, использующие упрощенную модель ценообразования Security Hub, и аккаунты, работающие по отдельной оплате каждого сервиса. Выбор модели определяется на уровне конкретного аккаунта в зависимости от того, включен ли в нем Security Hub.

Инстансы EC2. Среднее число инстансов EC2 = (общее количество часов работы активных инстансов / количество часов в месяце, т. е. 720 часов). Предположим, что у вас есть 3 инстанса, которые работали разное количество времени в течение месяца: первый – 360 часов, второй – 350 часов и третий – 10 часов. Итого: 720 часов работы инстансов. Таким образом, 720 часов общего сканирования инстансов EC2 в этом месяце / 720 часов в месяце = 1.

Образы контейнеров. Количество отсканированных образов контейнеров = количество образов контейнеров, отправляемых в Amazon ECR каждый месяц, плюс количество образов контейнеров, подлежащих повторному сканированию в течение месяца (в зависимости от конфигурации повторного сканирования Amazon Inspector). Amazon Inspector выполняет первичное сканирование каждого образа при загрузке в Amazon ECR, а также повторные проверки на новые уязвимости в зависимости от настроек (например, по дате загрузки, последнего использования или извлечения). Пример. В вашем репозитории Amazon ECR имеется 5000 образов, и через месяц вы отправляете в него еще 500 образов. Вы настроили мониторинг образов на 14 дней в зависимости от даты последнего использования. В течение месяца 75 образов контейнеров из репозитория развертываются в кластерах Amazon ECS или Amazon EKS. Amazon Inspector отслеживает и выставляет оплату на основе фактического времени, в течение которого каждый образ находится под мониторингом в пределах заданного окна. Это включает как 75 активно используемых образов на протяжении всего периода их применения, так и 500 новых образов, добавленных в течение месяца, в рамках их соответствующих периодов сканирования. Обратите внимание, что оплата начисляется только за то время, в течение которого каждый образ действительно находится под мониторингом (по умолчанию – до 14 дней), а не за весь месяц целиком. При этом длительность периода мониторинга можно настраивать в соответствии с вашими потребностями.

Функции Lambda. Подходящие функции Lambda определяются как функции версии $LATEST, которые вызывались или обновлялись в течение последних 90 дней. Среднее количество функций Lambda = (общее количество часов работы Security Hub для функции Lambda) / (количество часов в месяце, т. е. 720 часов). Часы покрытия Security Hub – это период от момента развертывания функции Lambda до ее удаления.

Например, у вас есть 3 развернутые функции Lambda, которые сканировались сервисом Security Hub разное количество времени в течение месяца: первая – 720 часов, вторая – 350 часов, третья – 10 часов, что в сумме дает 1080 часов. Таким образом, среднее число функций Lambda составит: 1080 часов суммарного сканирования в этом месяце / 720 часов в месяце = 1,5.

Пользователи и роли IAM. Среднее количество пользователей и ролей IAM = число пользователей или ролей IAM, существовавших в течение месяца, с ежедневным пропорциональным учетом (пропорционально времени их существования).

Все возможности, которые не включены напрямую в планы Security Hub, продолжают тарифицироваться через свои исходные сервисы. Например, если вы используете функции GuardDuty, которые не входят в план Threat Analytics, они будут оплачиваться отдельно в рамках стандартной модели тарификации GuardDuty.

Да, такие сервисы, как Amazon Inspector, GuardDuty и CSPM в составе Security Hub, доступны и по стандартным тарифам, даже если Security Hub не включен.

План Security Hub Extended предоставляет расширенный корпоративный уровень защиты с интеграцией решений партнеров в таких областях, как конечные устройства, идентификация, электронная почта, сеть, данные, браузеры, облако, искусственный интеллект и операции безопасности. Стоимость плана Extended рассчитывается на основе конкретных подключенных решений партнеров. Цена зависит от категории безопасности и модели использования. В отличие от плана Essentials, где тарификация привязана к ресурсам AWS, Extended использует модель оплаты, зависящую от конкретного решения и его метрики – например, за пользователя, за конечное устройство или за терабайт данных. Этот план можно подключить для расширения покрытия Security Hub за пределы инфраструктуры AWS и распространения защиты на всю организацию.