产品准备核对清

以某种方式将你的所有发现映射到 ASFF。

使用策划字段，例如模型化的资源类型，Network、Malware，或者ThreatIntelIndicators.

将任何东西映射到Resource.Details.Other要么ProductFields根据需要执行。

如果可能，请在结果中使用针对策划资源（如 EC2 实例、S3 存储桶和安全组）的所提供字段。

将与资源相关的其他信息映射到Resource.Details.Other只有在没有直接匹配的情况下才能。

请勿使用 UserDefinedFields。

考虑使用另一个精心策划的领域，例如Resource.Details.Other要么ProductFields.

只能使用ProductFields获取特定于产品的信息，例如版本控制信息、特定于产品的严重性调查结果或其他无法映射到精选字段的信息，或Resources.Details.Other.

这些区域有：FirstObservedAt时间戳旨在记录商品中观察到发现的时间。如果可能的话，映射此字段。

Security Hub 中的所有发现都在查找结果标识符上编制索引（Id属性)。此值必须始终是唯一的，以确保不会意外更新调查结果。

为了更新调查结果，您还应保持查找结果标识符状态。

GeneratorID不应该与查找 ID 具有相同的值。

GeneratorID应该能够通过产生这些结果的原因在逻辑上链接发现。

这可以是产品中的子组件（产品 A-漏洞与产品 A-EDR）或类似的东西。

查找类型分类应与产品生成的调查结果密切相对应。

中概述的第一级命名空间Amazon需要使用 Security F功能格式。

您可以为二级和三级命名空间（类别或分类器）使用自定义值。

如果您的产品捕获NetFlow信息，将其映射到Network字段中返回的子位置类型。

如果您的产品捕获过程信息，请将其映射到Process字段中返回的子位置类型。

如果您的产品捕获了恶意软件信息，请将其映射到Malware字段中返回的子位置类型。

如果您的产品捕获威胁情报信息，请将其映射到ThreatIntelIndicators字段中返回的子位置类型。

无论何时使用此字段，都可以在文档和清单中提供理由。

识别时Amazon资源，最佳做法是使用 ARN。如果 ARN 不可用，请使用规范资源 ID。

对于将从客户帐户发送调查结果或使用CloudWatch使用调查结果的事件，需要某种形式的 iAC 模板。

Amazon CloudFormation最好使用，但Amazon CDK或者 Terraform 也可以使用。

一些合作伙伴产品在其产品中使用切换或类似的机制来激活集成。这可能需要自动配置资源和权限。如果您从产品帐户发送调查结果，则首选一键设置方法是首选方法。

通常，您应该只向 Security Hub 客户发送具有安全价值的调查结果。

Security Hub 不是一个通用的日志管理工具。你不应该将所有可能的日志发送到 Security Hub。

独特发现的数量用于计算 Security Hub 上的负载。唯一的发现被定义为具有与另一个发现不同 ASFF 映射的查找结果。

例如，如果只填充了一个查找结果ThreatIntelndicators另一个只有人口Resources.Details.AWSEc2Instance，这是两个独特的发现。

目前在上面有 30—50 TPS 的突发率BatchImportFindingsAPI 操作。如果返回 4xx 或 5xx 错误，则必须保留这些失败的查找结果的状态，以便稍后可以重试它们。你可以通过死信队列或其他队列来做到这一点Amazon消息传递服务，例如 Amazon SNS 或 Amazon SQS。

如果您计划通过覆盖原始查找结果 ID 来更新调查结果，则必须有保留状态的机制，以便更新正确的信息以获得正确的查找结果。

如果您提供了调查结果，请勿使用BatchUpdateFindings操作来更新调查结果。此操作只能由客户使用。你只能使用BatchUpdateFindings当您调查结果并对结果采取相应措施时。

您应该有一种机制来在出错时保留原始查找 ID，这样您就不会错误地复制或覆盖成功的查找结果。

要更新查找结果，必须通过提交相同的查找结果 ID 覆盖现有查找结果。

这些区域有：BatchUpdateFindings操作只能由客户使用。

如果你对调查结果采取行动，你可以使用BatchUpdateFindings操作来更新特定字段。

您应该最大限度地减少延迟，以确保客户尽快在 Security Hub 中看到发现结果。

清单中必须提供此信息。

在测试过程中，必须从您拥有的账户成功发送调查结果，该账户与为产品 ARN 提供的账户不同。

从产品 ARN 所有者账户发送调查结果可以绕过 API 操作中的某些错误例外。

为了表明您的集成工作正常，你应该发送心跳发现。心跳查找结果每五分钟发送一次，并使用查找类型Heartbeat.

如果您从产品账户发送调查结果，这很重要。

在生产前验证期间，您应该向 Security Hub 产品团队发送查找示例Amazonaccount. 这些示例表明，发现已正确发送和映射。

文档应作为静态网页、Wiki、阅读文档或其他专用格式托管在您的网站上。

托管文档GitHub不符合专用网站的要求。

您可以使用 iAC 模板或基于控制台的 “一键式” 集成来设置集成。

还应在文档中描述您在清单中提供的用例

你应该提供你发送的调查结果类型的理由。

例如，您的产品可能会生成漏洞、恶意软件和防病毒软件的发现，但您只能将漏洞和恶意软件发现发送到 Security Hub。在这种情况下，您必须提供为什么不发送防病毒检测结果的理由。

您应该提供将产品的原生发现映射到 ASFF 的理由。买家想知道在哪里查找具体的商品信息。

向客户提供有关如何保持状态、确保幂等以及覆盖调查结果的信息up-to-date信息。

最大限度地减少延迟，以确保客户尽快在 Security Hub 中看到发现结果。

清单中必须提供此信息。

提供有关如何映射的信息Severity.Original到Severity.Label.

例如，如果严重性值是字母等级（A、B、C），则应提供有关如何将字母成绩映射到严重性标签的信息。

如果您提供置信度分数，则应对这些分数进行排名。

如果您使用静态填充的置信度分数或源自人工智能或机器学习的映射，则应提供其他上下文。

注意支持或不受支持的区域，以便客户知道在哪些地区不尝试集成。

账户标识符长度为 12 位数。如果账户 ID 包含的数字少于 12 位数，则产品 ARN 将无效。

清单中 JSON 中提供的产品描述不应超过 200 个字符，包括空格。

配置链接应该导向您的在线文档。它不应该导致你的主网站或营销页面。

如果您提供购买链接，则必须用于Amazon Web Services Marketplace条目。Security Hub 不接受未托管的购买链接Amazon.

在清单中，您最多可以提供三个产品类别。这些应该与 JSON 匹配，不能自定义。您提供的商品分类不能超过三个。

公司名称必须为 16 个或更少的字符。

商品名称必须为 24 个或更少的字符。

产品卡片 JSON 中的产品名称必须与清单中的名称匹配。

Security Hub 合作伙伴页面最多只能接受 700 个字符，包括空格。

团队将向下编辑更长的描述。

提供一个公开可访问的 URL，其中包含 PNG 或 JPG 的公司徽标，不超过 600 x 300 像素。

这些区域有：了解更多链接不应导致合作伙伴的主网站或文档信息。

此链接应始终转到专用网页，其中包含有关于集成的营销信息。

您可以自由选择，但我们建议您使用演示视频或集成演

Amazon合作伙伴网络博客文章应提前与合作伙伴开发经理或合作伙伴开发代表进行协调。

这些与你自己创建的任何博客文章是分开的。

允许 4-6 周的交货时间。这项工作应该在私有产品 ARN 测试完成后开始。

您可以与合作伙伴开发经理或合作伙伴开发代表合作，从外部安全服务副总裁那里获取报价。你可以在新闻稿中使用此报价。

你可以创建自己的博客文章来展示Amazon合作伙伴网络博客。

您可以创建自己的网络研讨会来展示集成。

如果您需要 Security Hub 团队的帮助，请在使用私有产品 ARN 完成测试后与产品团队合作。

发布后，您可以使用Amazon安全营销导致使用Amazon官方社交媒体渠道，分享有关网络研讨会的详细信息。