Preço do AWS Security Hub

O Security Hub oferece um teste gratuito de 30 dias que inclui os recursos do plano básico do Security Hub, com preços baseados em recursos. Cada conta da AWS em cada região recebe um teste gratuito e você permanece qualificado mesmo que tenha usado anteriormente os testes gratuitos do AWS Security Hub CSPM ou do Amazon Inspector. Recursos complementares, incluindo o plano de analytics de ameaças do Amazon GuardDuty e o escaneamento de código do AWS Lambda desenvolvido pelo Amazon Inspector, não estão incluídos no teste gratuito do Security Hub. Após o teste gratuito, os custos são baseados nos recursos da AWS que você monitora (instâncias do EC2, imagens de contêiner, funções do Lambda, usuários/perfis do IAM) e no uso do plano de analytics de ameaças (eventos do CloudTrail e volume de dados de log).

O Security Hub oferece o plano básico como padrão, com a capacidade de adicionar um plano de analytics de ameaças ou recursos de escaneamento de código Lambda conforme necessário. O plano essencial inclui analytics de risco, gerenciamento de vulnerabilidades, gerenciamento de postura de segurança e gerenciamento de respostas de segurança. O plano de analytics de ameaças adiciona monitoramento baseado no Amazon GuardDuty da atividade da conta da AWS, registros de fluxo de VPC, registros de DNS e outros dados de segurança. Consulte a seção de detalhes do plano para obter descrições completas dos recursos.

O plano básico do Security Hub oferece proteção de segurança em quatro áreas principais:

• Analytics de risco e exposição - Identifica e prioriza automaticamente seus problemas de segurança mais críticos correlacionando as descobertas em todo o ambiente, ajudando você a se concentrar no que é mais importante e a responder mais rapidamente às ameaças.
• Gerenciamento de vulnerabilidades - Verifica continuamente suas instâncias do EC2, imagens de contêiner e funções do Lambda em busca de vulnerabilidades de software e fraquezas de configuração, permitindo que você corrija falhas de segurança antes que elas possam ser exploradas.
• Gerenciamento da postura de segurança - Avalia seu ambiente da AWS em relação aos padrões de segurança e às melhores práticas do setor para identificar configurações incorretas, ajudando você a manter a conformidade e reduzir sua superfície de ataque.
• Gerenciamento de respostas de segurança - Fornece uma visão centralizada de suas descobertas de segurança com fluxos de trabalho automatizados, permitindo que sua equipe investigue e corrija problemas com mais eficiência em todo o seu ambiente da AWS.

Juntos, esses recursos ajudam você a reduzir os riscos de segurança, melhorar a produtividade da equipe e manter uma forte postura de segurança em toda a sua infraestrutura de nuvem.

Sim, o Security Hub monitora todos os recursos relevantes da AWS em seu ambiente para oferecer uma cobertura de segurança mais abrangente. O preço do plano básico é baseado em quatro tipos de recursos: instâncias do EC2, imagens de contêiner ECR, funções do Lambda e usuários e perfis do IAM. Esse modelo simplificado de preços facilita a estimativa e o gerenciamento dos custos do Security Hub.

Não, você não precisa dos dois planos. O plano básico do Security Hub é o nível padrão de cobertura que você recebe quando ativa o Security Hub e é necessário para todas as funcionalidades do Security Hub. Ele fornece recursos de segurança, incluindo analytics de risco e exposição, gerenciamento de vulnerabilidades, gerenciamento de postura de segurança e gerenciamento de respostas de segurança. O plano de analytics de ameaças é um complemento que aprimora seu plano essencial com recursos de monitoramento de ameaças fornecidos pelo Amazon GuardDuty.

O plano de analytics de ameaças não pode ser usado sozinho — ele requer o plano básico do Security Hub como base. Embora a maioria dos recursos do plano básico funcione de forma independente, a proteção contra malware para o Amazon EC2 é um caso especial: ela está incluída no plano básico, mas só funciona quando você também tem o plano de analytics de ameaças ativo, pois depende da detecção de ameaças do GuardDuty para identificar atividades suspeitas antes de verificar se há malware.

Você pode começar apenas com o plano básico e adicionar recursos de analytics de ameaças posteriormente, à medida que suas necessidades de monitoramento de segurança evoluírem.

A AWS fornece uma ferramenta de estimativa de custos para ajudar você a estimar os custos do Security Hub antes de ativar o serviço. Consulte a página do Security Hub Cost Estimator para obter mais detalhes.

O plano básico do Security Hub combina os recursos do Amazon Inspector e do AWS Security Hub CSPM em um modelo de preços único e previsível baseado em recursos que simplifica os custos e aprimora as operações de segurança.

Os clientes atuais do Amazon Inspector obtêm gerenciamento simplificado de vulnerabilidades com preços unificados de recursos para escaneamentos de instâncias do EC2 (baseados em agentes e sem agente), avaliações ilimitadas do CIS Benchmark, custos previsíveis de monitoramento de imagens de contêineres ECR e taxas fixas mensais de monitoramento de funções do Lambda. Essa consolidação elimina a complexidade de gerenciar vários modelos de preços e, ao mesmo tempo, fornece uma cobertura abrangente de vulnerabilidades.

Os clientes do Security Hub CSPM se beneficiam da transição de preços baseados em uso para preços baseados em recursos, ao mesmo tempo em que obtêm recursos de correlação de vulnerabilidades mais abrangentes, verificações de segurança ilimitadas, ingestão de descobertas ilimitadas e monitoramento aprimorado de conformidade em relação aos padrões do setor com correlação automática com dados de vulnerabilidade do Amazon Inspector. Essa mudança fornece previsibilidade de custos e, ao mesmo tempo, expande os recursos de segurança.

Além da consolidação de custos, o plano básico do Security Hub transforma as operações de segurança de todos os clientes por meio da correlação automática das descobertas de vulnerabilidades com verificações de conformidade, reduzindo o ruído de alerta por meio da priorização da exposição. As equipes de segurança podem se concentrar em riscos contextualizados que combinam a gravidade da vulnerabilidade com a exposição da rede e as lacunas de conformidade, ao mesmo tempo em que se beneficiam de operações centralizadas, fluxos de trabalho automatizados de remediação e a flexibilidade de expandir para uma detecção de ameaças mais abrangente à medida que as necessidades de segurança evoluem.

O faturamento existente dos serviços de segurança faz a transição perfeita para o Security Hub, simplificando os preços, sem a necessidade de nenhuma ação. Você receberá cobranças consolidadas no Security Hub em vez de contas de serviço separadas pelos recursos incluídos nos planos do Security Hub.

O Security Hub oferece flexibilidade em nível de conta no AWS Organizations. Quando você ativa o Security Hub em uma conta, essa conta recebe preços simplificados em todos os serviços de segurança. Quando você não ativa o Security Hub em uma conta, essa conta usa preços de serviço individuais para cada serviço de segurança. Isso significa que, em um único AWS Organization, você pode ter algumas contas usando o modelo de preços simplificado do Security Hub, enquanto outras contas continuam com os preços de serviços individuais, determinados no nível da conta com base no fato de o Security Hub estar habilitado nessa conta específica.

Instâncias do EC2: número médio de instâncias do EC2 = (total de horas de instâncias ativas/número de horas em um mês, ou seja, 720 horas). Por exemplo, você tem três instâncias que ficaram ativas por diferentes períodos durante um mês: a primeira por 360 horas, a segunda por 350 horas e a terceira por 10 horas, totalizando 720 horas de instâncias ativas. Portanto, 720 horas totais de instâncias que estavam sendo verificadas naquele mês dividido por 720, que corresponde ao total de horas em um mês, fornece a média de 1 instância do EC2.

Imagens de contêiner: número de imagens de contêiner digitalizadas = número de imagens de contêiner enviadas para o Amazon ECR a cada mês mais o número de imagens de contêiner que estão no escopo de redigitalização durante o mês, com base na configuração de redigitalização do Amazon Inspector. O Amazon Inspector executa um escaneamento inicial de cada imagem de contêiner enviada para o Amazon ECR. Além disso, o Amazon Inspector verifica novamente as imagens do contêiner em busca de novas vulnerabilidades com base nos prazos que você configura para data de envio, data de extração e data da última utilização da imagem. Exemplo: você tem 5.000 imagens em seu repositório Amazon ECR e envia 500 imagens adicionais para o Amazon ECR em um mês. Você configurou o monitoramento de imagens por 14 dias com base na data da última utilização. Durante o mês, 75 imagens de contêiner do repositório são implantadas nos clusters Amazon ECS ou Amazon EKS. O Amazon Inspector monitora e cobra com base na duração real de cada imagem monitorada em sua janela configurada — isso inclui as 75 imagens ativas enquanto elas permanecem em uso e as 500 imagens recém-enviadas para seus respectivos períodos de monitoramento. Observe que as cobranças se aplicam somente ao tempo em que cada imagem é realmente monitorada (até 14 dias por padrão), não necessariamente ao mês inteiro, e esse período de monitoramento pode ser personalizado de acordo com suas necessidades.

Funções do Lambda: as funções elegíveis do Lambda são baseadas nas funções marcadas como $LATEST e foram invocadas ou atualizadas nos últimos 90 dias. Número médio de funções do Lambda = (total de horas de cobertura do Security Hub para uma função do Lambda) / (número de horas em um mês, ou seja, 720 horas). As horas de cobertura do Security Hub representam o momento em que a função Lambda é implantada até o momento em que ela é excluída.

Exemplo: você implantou três funções do Lambda que foram monitoradas pelo Security Hub por diferentes períodos durante um mês: a primeira por 720 horas, a segunda por 350 horas e a terceira por 10 horas, totalizando uma verificação de 1,080 horas de funções do Lambda implantadas. Portanto, 1,080 horas totais de funções do Lambda que estavam sendo verificadas naquele mês dividido por 720, que corresponde ao total de horas em um mês, fornece a média de 1,5 funções do Lambda.

Usuários e perfis do IAM: número médio de usuários e perfis do IAM = número de usuários ou perfis do IAM que existiram durante o mês, rateado diariamente.

Os recursos não listados explicitamente nos planos do Security Hub continuam sendo cobrados por meio de seus serviços originais. Por exemplo, você só receberá o faturamento do GuardDuty por quaisquer recursos restantes dele que não estejam incluídos no plano de analytics de ameaças.

Sim, serviços individuais, como Amazon Inspector, GuardDuty e Security Hub CSPM, permanecem disponíveis com seus preços padrão quando o Security Hub não está ativado.