Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

生成和更新控件调查发现

Amazon Security Hub 通过对安全控制进行检查来生成调查结果。这些发现使用 Amazon 安全调查结果格式 (ASFF)。请注意，如果调查发现大小超过最大值 240 KB，则 Resource.Details 对象将被移除。对于由 Amazon Config 资源支持的控件，您可以在 Amazon Config 控制台上查看资源详细信息。

Security Hub 通常会对控件的每项安全检查收费。但是，如果多个控件使用相同的 Amazon Config 规则，那么 Security Hub 只会 Amazon Config 根据该规则对每一次检查收取一次费用。如果您启用整合的控件调查发现，即使该控件包含在多个启用的标准中，Security Hub 也会生成一个用于安全检查的调查发现。

例如，互联网安全中心 (CIS) Amazon 基金会基准标准和基础安全最佳实践标准中的多个控件都使用该 Amazon Config 规则iam-password-policy。每次 Security Hub Amazon Config 根据该规则运行检查时，它会为每个相关控件生成一个单独的调查结果，但只对检查收取一次费用。

整合的控件调查发现

在账户中启用整合的控件调查发现后，Security Hub 会为控件的每项安全检查生成一个新调查发现或调查发现更新，即使某项控件适用于多个启用的标准。要查看控件列表及其适用的标准，请参阅 Security Hub 控件参考。您可以开启或关闭整合的控件调查发现。我们建议将其开启以减少调查发现中的噪音。

如果您在 2023 年 2 月 23 日 Amazon Web Services 账户 之前启用了 Security Hub，则必须按照本节后面的说明打开合并控制结果。如果 2023 年 2 月 23 日当天或之后启用 Security Hub，则账户中将自动启用整合的控件调查发现。但是，如果您通过手动邀请流程使用 Security Hub 集成 Amazon Organizations或邀请成员账户，则只有在管理员账户中启用了整合的控件调查发现后，才会在成员账户中启用整合的控件调查发现。如果该功能在管理员账户中关闭，则在成员账户中也会关闭。此行为适用于新的和现有的成员账户。

如果您在账户中关闭了整合的控件调查发现，Security Hub 会为每项包含控件的已启用标准生成每项安全检查的单独调查发现。例如，如果四个启用的标准共享一个具有相同基础 Amazon Config 规则的控件，则在对该控件进行安全检查后，您会收到四个不同的结果。如果启用整合的控件调查发现，则只会收到一个调查发现。有关整合如何影响调查发现的更多信息，请参阅 控件调查发现样本。

开启整合的控件调查发现后，Security Hub 会创建与标准无关的新调查发现，并存档基于标准的原始调查发现。某些控件调查发现字段和值会发生变化，并可能影响现有的工作流程。有关这些更改的更多信息，请参阅整合的控件调查发现——ASFF 的变化。

启用整合的控件调查发现还可能影响第三方集成从 Security Hub 收到的调查发现。Amazon v2.0.0 上的自动安全响应支持整合的控制结果。

开启整合的控件调查发现

要启用整合的控件调查发现，您必须登录管理员账户或独立账户。

Security Hub console

1. 打开 Amazon Security Hub 控制台，网址为 https://console.aws.amazon.com/securityhub/。

2. 在导航窗格中，选择 Settings（设置）。

3. 选择常规选项卡。

4. 对于控件，打开整合的控件调查发现。

5. 选择保存。

Security Hub API

1. 运行 UpdateSecurityHubConfiguration。

2. 设置 ControlFindingGenerator 等于 SECURITY_CONTROL。

   请求示例：

   {
      "ControlFindingGenerator": "SECURITY_CONTROL"
   }

Amazon CLI

1. 运行 update-security-hub-configuration 命令。

2. 设置 control-finding-generator 等于 SECURITY_CONTROL。

   aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator SECURITY_CONTROL

关闭合并的控件调查发现

要关闭整合的控件调查发现，您必须登录管理员账户或独立账户。

Security Hub console

1. 打开 Amazon Security Hub 控制台，网址为 https://console.aws.amazon.com/securityhub/。

2. 在导航窗格中，选择 Settings（设置）。

3. 选择常规选项卡。

4. 对于控件，选择编辑，然后关闭整合的控件调查发现。

5. 选择保存。

Security Hub API

1. 运行 UpdateSecurityHubConfiguration。

2. 设置 ControlFindingGenerator 等于 STANDARD_CONTROL。

   请求示例：

   {
      "ControlFindingGenerator": "STANDARD_CONTROL"
   }

Amazon CLI

1. 运行 update-security-hub-configuration 命令。

2. 设置 control-finding-generator 等于 STANDARD_CONTROL。

   aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator STANDARD_CONTROL

Compliance 控件调查发现的详细信息

对于控件安全检查生成的调查结果， Amazon 安全调查结果格式 (ASFF) 中的Compliance字段包含与控制结果相关的详细信息。Compliance 字段包含以下信息。

下表列出了可用的状态原因代码和说明。补救步骤取决于哪个控件生成了带有原因代码的调查发现。从 Security Hub 控件参考 中选择一个控件以查看该控件的修复步骤。

ProductFields 控件调查发现的详细信息

当 Security Hub 运行安全检查并生成控件调查发现时，ASFF 中的 ProductFields 属性包括以下字段：

为控件调查发现分配严重性

分配给 Security Hub 控件的“严重性”确定了该控件的重要性。对照的严重性决定了分配给对照调查发现的严重性标签。

严重性条件

控制的严重程度是根据对以下标准的评估来确定的：

例如，考虑以下配置缺点：

对于攻击者来说，这两个弱点同样难以利用。在这两种情况下，攻击者都可以使用凭证盗窃或其他方法来获取用户密钥。然后，他们可以使用它以未经授权的方式访问您的资源。

但是，如果威胁行为者获取了根用户访问密钥，则受到损害的可能性会更高，因为这为他们提供了更大的访问权限。因此，根用户密钥漏洞的严重性更高。

严重性未考虑底层资源的重要程度。严重性是指与调查发现关联的资源的重要性级别。例如，与任务关键型应用程序关联的资源比与非生产测试关联的资源更重要。要获取资源重要性信息，请使用 Amazon 安全调查结果格式 (ASFF) 的Criticality字段。

下表将漏洞利用的难度和受损的可能性映射到安全标签。

严重性定义

严重性标签的定义如下：

更新控件调查发现的规则

针对给定规则的后续检查可能会生成新结果。例如，“避免使用根用户”的状态可能会从 FAILED 更改为 PASSED。在这种情况下，将生成包含最新调查发现的新调查发现。

如果根据给定规则进行的后续检查生成与当前结果相同的结果，则更新现有结果。不会生成新结果。

如果关联的资源被删除、资源不存在或控件被禁用，Security Hub 会自动存档控件的调查发现。由于当前未使用关联的服务，资源可能不再存在。结果将根据以下条件之一自动存档：