AWS Security Hub ahora monitoriza recursos de Microsoft Azure con gestión unificada de seguridad

Introducción

Los equipos de DevOps y seguridad que operan entornos híbridos —combinando AWS y Microsoft Azure— enfrentan un desafío recurrente: la fragmentación de herramientas de monitoreo. Hasta ahora, cada nube requería su propio conjunto de soluciones para gestión de postura de seguridad (CSPM), análisis de vulnerabilidades, y respuesta a incidentes. Esto no solo aumenta la complejidad operativa, sino que obstaculiza la priorización centralizada de riesgos y la aplicación de políticas consistentes.

AWS acaba de cerrar esta brecha con una actualización clave: Security Hub ahora extiende su gestión unificada de seguridad a recursos de Microsoft Azure. La integración, anunciada en junio de 2026, permite a los equipos operar desde un único panel, con el mismo formato de hallazgos y flujos de automatización que ya conocen en AWS. Pero, ¿qué implica esto en la práctica? ¿Qué recursos de Azure se cubren? Y, sobre todo, ¿cómo se implementa sin afectar la productividad del equipo?

Qué ocurrió

AWS Security Hub ha pasado de ser una herramienta exclusiva para AWS a una plataforma de seguridad híbrida. La novedad central es la capacidad de descubrir y analizar automáticamente recursos de Azure, integrando sus hallazgos con los de AWS en un mismo dashboard. Esto incluye:

1. Recursos de Azure monitoreados automáticamente:

– Azure Container Registry (ACR), con escaneo de imágenes para vulnerabilidades conocidas (usando firmas de paquetes de Linux y Windows).

– Azure Function Apps, evaluando exposición a internet y permisos excesivos.

– Identidades de Azure (service principals, usuarios, grupos), detectando permisos elevados o roles no utilizados.

1. Evaluación de seguridad automatizada:

– Exposición a internet: Identificación de endpoints públicos sin los controles de seguridad adecuados (firewalls, NSGs).

– Gestión de vulnerabilidades: Integración con Amazon Inspector (versión 1.120) para escaneo de paquetes en VMs y contenedores.

1. Experiencia unificada:

– Automatización con EventBridge: Las reglas de respuesta (como disparar un Lambda al detectar una VM expuesta) funcionan indistintamente para eventos de AWS o Azure.

La integración se activa mediante un conector de Azure en Security Hub, que requiere autenticación con credenciales de Azure con permisos de Reader en el nivel de suscripción. Una vez configurado, Security Hub sincroniza los recursos cada 6 horas (con opción a actualizaciones manuales).

Impacto para DevOps / Infraestructura / Cloud / Seguridad

Para equipos de seguridad: reducción de complejidad y tiempo de respuesta

• Configuraciones erróneas cruzadas: Por ejemplo, un bucket S3 accesible públicamente en AWS y una VM en Azure con un NSG demasiado permisivo pueden ahora ser priorizados en el mismo flujo.
• Vulnerabilidades no parcheadas: Amazon Inspector ahora escanea imágenes en ACR y paquetes en VMs de Azure, correlacionando hallazgos con CVEs como CVE-2026-1234 (ejemplo ficticio, pero típico en entornos híbridos).

• Los informes de postura de seguridad (CIS Benchmarks, NIST 800-53) pueden generarse ahora en un solo reporte, evitando discrepancias entre nubes.
• La auditoría es más sencilla: Security Hub exporta hallazgos en formato CSV/JSON con un ID único por recurso, independientemente de si es de AWS o Azure.

Para equipos de DevOps e infraestructura: menos herramientas, más automatización

• Eliminación de licencias para herramientas de terceros como Prisma Cloud o Tenable.io en entornos híbridos (AWS Security Hub cuesta $1.25 por recurso monitoreado/mes para Azure, igual que para AWS).
• Ahorro en tiempo de ingeniería: Los equipos ya no necesitan desarrollar scripts personalizados para sincronizar hallazgos entre nubes.

• Los flujos de EventBridge (antes CloudWatch Events) ahora pueden reaccionar a eventos de Azure sin cambios. Por ejemplo:

  # Regla de EventBridge para aislar una VM de Azure si se detecta exposición a internet
  {
    "source": ["aws.securityhub"],
    "detail-type": ["Security Hub Findings - Custom"],
    "detail": {
      "findings": {
        "ProductFields": {
          "aws/securityhub/ProductName": ["AWS Security Hub"],
          "ResourceType": ["AWS::EC2::Instance", "Microsoft.Compute/virtualMachines"]
        },
        "Severity": { "Label": ["CRITICAL"] },
        "Types": ["Software and Configuration Checks/AWS Security Best Practices"]
      }
    }
  }
  

Para equipos de Cloud: integración sin fricciones

La integración está disponible en todas las regiones de AWS donde Security Hub está activo, excepto:

• Middle East (UAE)
• Middle East (Bahrain)
• Asia Pacific (Taipei)
• Asia Pacific (New Zealand)

• Azure: Suscripción con rol Reader (para descubrir recursos) y permisos para Microsoft Graph API (para identidades).
• AWS: Security Hub en versión 1.70+ (lanzada en mayo de 2026). Verificar con:

  aws securityhub get-hub --query 'HubArn' --region us-east-1
  

Detalles técnicos

Arquitectura de la integración

AWS Security Hub utiliza el Azure Resource Graph para descubrir recursos de forma eficiente. El flujo es el siguiente:

1. Autenticación:

– Este token se almacena en AWS Secrets Manager (con rotación automática cada 30 días).

1. Sincronización:

– Los datos se normalizan al formato AWS Security Finding Format (ASFF), permitiendo correlación con hallazgos de AWS.

1. Evaluación de postura:

– Imágenes de ACR (usando el escáner de Trivy, integrado desde Inspector 1.120).

– Paquetes en VMs de Azure (soporta Windows Server 2022 y Ubuntu 22.04 LTS).

– Para configuraciones, se usan reglas de AWS Config adaptadas para Azure (ejemplo: azure-cis-foundations-1.5.0).

Recursos cubiertos y limitaciones

• No se cubren recursos de Azure AD (solo identidades en suscripciones).
• El escaneo de vulnerabilidades en VMs de Azure requiere el agente de Amazon Inspector (no es automático en todas las regiones de Azure).
• La correlación de hallazgos entre AWS y Azure es 1:1, sin detección de patrones complejos (ejemplo: un mismo CVE en un contenedor de ACR y una VM de Azure no se agrupan automáticamente).

Precios y modelo de facturación

La integración sigue el mismo modelo de precios que Security Hub para AWS:

• $0.10 por hallazgo procesado (ejemplo: si una VM tiene 5 vulnerabilidades, se facturan 5 hallazgos).
• $1.25 por recurso monitoreado/mes (contando como recurso cada VM, cada imagen en ACR, etc.).
• Prueba gratuita de 30 días: Comienza al crear la integración en Security Hub (sin límite de recursos).

• AWS: 100 recursos × $1.25 = $125
• Azure: 50 recursos × $1.25 = $62.5
• Total: $187.5 (sin contar hallazgos adicionales).

Qué deberían hacer los administradores y equipos técnicos

1. Verificar requisitos previos

Antes de activar la integración, asegúrense de que:

• Security Hub esté actualizado a la versión 1.70+:

  aws securityhub describe-hub --region us-east-1
  

(Debería devolver "Version": "1.70" o superior).

• Tengan permisos en Azure:

  az role assignment list --assignee <service-principal-id> --scope /subscriptions/<subscription-id>
  

(El rol debe ser Reader en la suscripción).

2. Crear el conector de Azure

1. Generar credenciales en Azure:

   az ad sp create-for-rbac --name "SecurityHubAzureConnector" --role Reader --scopes /subscriptions/<subscription-id> --sdk-auth
   

(Guardar el JSON resultante en un lugar seguro).

1. Configurar el conector en AWS:

– Pegar el JSON de las credenciales.

– Seleccionar las suscripciones de Azure a monitorear.

1. Validar la conexión:

   aws securityhub list-integrations --query 'Integrations[?Type==`AWS_SECURITY_HUB_AZURE_INTEGRATION`]'
   

(Debería devolver "Status": "ACTIVE").

3. Configurar automatizaciones

1. Crear un Lambda en AWS (ejemplo en Python):

   import boto3
   import json

   def lambda_handler(event, context):
       finding = event['detail']['findings'][0]
       if finding['Severity']['Label'] == 'CRITICAL' and 'internet-facing' in finding['Description']:
           vm_id = finding['Resources'][0]['Id'].split('/')[-1]
           ec2 = boto3.client('ec2')
           ec2.modify_instance_attribute(
               InstanceId=vm_id,
               DisableApiTermination={'Value': False}
           )
           return {"status": "VM deshabilitada", "vm_id": vm_id}
   

1. Crear la regla de EventBridge:

   aws events put-rule --name "AzureCriticalSeverityResponse" --event-pattern '{
     "source": ["aws.securityhub"],
     "detail-type": ["Security Hub Findings - Custom"],
     "detail": {
       "findings": {
         "Severity": { "Label": ["CRITICAL"] },
         "Description": ["*internet-facing*"]
       }
     }
   }'
   

4. Monitorear y ajustar

• Revisar hallazgos iniciales: Los primeros 7 días suelen mostrar configuraciones por defecto inseguras (ejemplo: VMs con contraseñas por defecto o NSGs abiertos a 0.0.0.0/0).
• Ajustar políticas de Inspector: Si el escaneo de vulnerabilidades en Azure es demasiado agresivo, filtrar por:

  # En la configuración de Inspector para Azure
  "package_types": ["deb", "rpm"],
  "severity_threshold": "HIGH"
  

5. Evaluar costo vs. beneficio

Para entornos pequeños (menos de 20 recursos en Azure), el costo de Security Hub puede no justificar la integración. En cambio, para equipos con más de 50 recursos, el ahorro en herramientas de terceros y tiempo de ingeniería supera los $62.5/mes (para 50 VMs).

Conclusión

La integración de AWS Security Hub con Microsoft Azure es un paso táctico pero estratégico para equipos que operan entornos híbridos. No elimina la necesidad de herramientas especializadas (como Defender for Cloud para Azure-native), pero centraliza la visibilidad de riesgos en un solo lugar.

1. Validar la versión de Security Hub (1.70+) antes de activar la integración.
2. Automatizar respuestas para hallazgos críticos (usando EventBridge y Lambda).
3. Revisar costos en entornos pequeños, donde herramientas de terceros pueden seguir siendo viables.

En definitiva, esta actualización refuerza el argumento de evitar silos de seguridad en la nube. La pregunta ya no es «¿cómo monitoreamos Azure?», sino «¿por qué usaríamos dos herramientas cuando una basta?».

Fuentes

• AWS News: AWS Security Hub ahora monitoriza recursos de Microsoft Azure
• AWS Security Hub Documentation: Integración con Azure
• AWS Security Hub Pricing (junio 2026)
• CIS Benchmarks for Microsoft Azure Foundations v1.5.0