本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。
适用于 Athena 的 Security Hub 控件
这些 Security Hub 控件用于评估 Amazon Athena 服务和资源。
这些控件可能并未在所有的 Amazon Web Services 区域 上提供。有关更多信息，请参阅 按地区划分的控件可用性。
[Athena.1] Athena 工作组应进行静态加密
重要
Security Hub 已于 2024 年 4 月停用了此控件。有关更多信息，请参阅 Security Hub 控件的更改日志。
类别：保护 > 数据保护 > 静态数据加密
相关要求：NIST.800-53.r5 CA-9(1)、NIST.800-53.r5 CM-3(6)、NIST.800-53.r5 SC-13、NIST.800-53.r5 SC-28、NIST.800-53.r5 SC-28(1)、NIST.800-53.r5 SC-7(10)、NIST.800-53.r5 SI-7(6)。
严重性：中
资源类型：AWS::Athena::WorkGroup
Amazon Config 规则：athena-workgroup-encrypted-at-rest
计划类型：已触发变更
参数：无
此控件检查 Athena 工作组是否处于静态加密状态。如果 Athena 工作组未静态加密，则控制失败。
在 Athena 中，您可以创建工作组来运行团队、应用程序或不同工作负载的查询。每个工作组都有对所有查询启用加密的设置。您可以选择对 Amazon Simple Storage Service (Amazon S3) 托管密钥使用服务器端加密、使用 Amazon Key Management Service (Amazon KMS) 密钥或使用客户端加密的客户托管的 KMS 密钥。静态数据指的是存储在持久、非易失性存储介质中的任何数据，无论存储时长如何。加密可帮助您保护此类数据的机密性，降低未经授权的用户访问这些数据的风险。
修复
要为 Athena 工作组启用静态加密，请参阅 Amazon Athena 用户指南中的编辑工作组。在查询结果配置部分，选择加密查询结果。
[Athena.2] 应标记 Athena 数据目录
类别：识别 > 清单 > 标记
严重性：低
资源类型：Amazon::Athena::DataCatalog
Amazon Config规则：tagged-athena-datacatalog（自定义 Security Hub 规则）
计划类型：已触发变更
参数：
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
requiredTagKeys
|
被评估资源必须包含的非系统标签键列表。标签键区分大小写。 | StringList | 符合 Amazon 要求的标签列表 |
No default value
|
此控件用于检查 Amazon Athena 数据目录是否具有带参数 requiredTagKeys 中定义的特定键的标签。如果数据目录没有任何标签键或未在参数 requiredTagKeys 中指定所有键，则此控件会失败。如果未提供 requiredTagKeys 参数，则此控件仅会检查是否存在标签键，如果数据目录未使用任何键进行标记，则此控件会失败。自动应用并以 aws: 为开头的系统标签会被忽略。
标签是您分配给 Amazon 资源的标记，由一个键和一个可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可帮助您识别、组织、搜索和筛选资源。使用标签进行标记还可以帮助您跟踪负责操作和通知的资源所有者。使用标签进行标记时，可以将基于属性的访问权限控制（ABAC）作为授权策略实施，该策略根据标签来定义权限。您可以将标签附加到 IAM 实体（用户或角色）以及 Amazon 资源。您可以为 IAM 主体创建单个 ABAC 策略或者一组单独的策略。您可以将这些 ABAC 策略设计为允许在主体的标签与资源标签匹配时进行操作。有关更多信息，请参阅 IAM 用户指南中的什么是适用于 Amazon 的 ABAC？。
注意
请勿在标签中添加个人身份信息（PII）或者其他机密或敏感信息。可从许多 Amazon Web Services 服务 访问标签，包括 Amazon Billing。有关标记更多最佳实践，请参阅《Amazon Web Services 一般参考》中的标记 Amazon 资源。
修复
要向 Athena 数据目录添加标签，请参阅《Amazon Athena 用户指南》中的标记 Athena 资源。
[Athena.3] 应标记 Athena 工作组
类别：识别 > 清单 > 标记
严重性：低
资源类型：Amazon::Athena::WorkGroup
Amazon Config规则：tagged-athena-workgroup（自定义 Security Hub 规则）
计划类型：已触发变更
参数：
| 参数 | 描述 | 类型 | 允许的自定义值 | Security Hub 默认值 |
|---|---|---|---|---|
requiredTagKeys
|
被评估资源必须包含的非系统标签键列表。标签键区分大小写。 | StringList | 符合 Amazon 要求的标签列表 |
No default value
|
此控件用于检查 Amazon Athena 工作组是否具有带参数 requiredTagKeys 中定义的特定键的标签。如果工作组没有任何标签键或未在参数 requiredTagKeys 中指定所有键，则此控件会失败。如果未提供参数 requiredTagKeys，则此控件仅会检查是否存在标签键，如果工作组未使用任何键进行标记，则此控件会失败。自动应用并以 aws: 为开头的系统标签会被忽略。
标签是您分配给 Amazon 资源的标记，由一个键和一个可选值组成。您可以创建标签，按用途、所有者、环境或其他标准对资源进行分类。标签可帮助您识别、组织、搜索和筛选资源。使用标签进行标记还可以帮助您跟踪负责操作和通知的资源所有者。使用标签进行标记时，可以将基于属性的访问权限控制（ABAC）作为授权策略实施，该策略根据标签来定义权限。您可以将标签附加到 IAM 实体（用户或角色）以及 Amazon 资源。您可以为 IAM 主体创建单个 ABAC 策略或者一组单独的策略。您可以将这些 ABAC 策略设计为允许在主体的标签与资源标签匹配时进行操作。有关更多信息，请参阅 IAM 用户指南中的什么是适用于 Amazon 的 ABAC？。
注意
请勿在标签中添加个人身份信息（PII）或者其他机密或敏感信息。可从许多 Amazon Web Services 服务 访问标签，包括 Amazon Billing。有关标记更多最佳实践，请参阅《Amazon Web Services 一般参考》中的标记 Amazon 资源。
修复
要向 Athena 工作组添加标签，请参阅《Amazon Athena 用户指南》中的在单个工作组中添加和删除标签。
[Athena.4] Athena 工作组应启用日志记录
类别：识别 > 日志记录
严重性：中
资源类型：Amazon::Athena::WorkGroup
Amazon Config 规则：athena-workgroup-logging-enabled
计划类型：已触发变更
参数：无
此控件用于检查 Amazon Athena 工作组是否将使用情况指标发布到 Amazon CloudWatch。如果工作组未将使用情况指标发布到 CloudWatch，则控件会失败。
审计日志跟踪和监控系统活动。它们提供了事件记录，可以帮助您检测安全漏洞、调查事件并遵守法规。审计日志还可以增强组织的整体问责制并提高组织透明度。
修复
要为 Athena 工作组启用或禁用查询指标，请参阅《Amazon Athena 用户指南》中的在 Athena 中启用 CloudWatch 查询指标。