整合的控件调查发现生成新发现与更新现有发现控制发现自动化和抑制控制结果的合规性详情 ProductFields 控制结果的详细信息控制结果的严重性级别

生成和更新控件调查发现

Amazon Security Hub 通过对安全控制进行检查来生成调查结果。这些发现使用 Amazon 安全调查结果格式 (ASFF)。请注意，如果调查发现大小超过最大值 240 KB，则 Resource.Details 对象将被移除。对于由 Amazon Config 资源支持的控件，您可以在 Amazon Config 控制台上查看资源详细信息。

Security Hub 通常会对控件的每项安全检查收费。但是，如果多个控件使用相同的 Amazon Config 规则，那么 Security Hub 只会 Amazon Config 根据该规则对每一次检查收取一次费用。如果您启用整合的控件调查发现，则即使该控件包含在多个启用的标准中，Security Hub 也会生成一个用于安全检查的调查发现。

例如，互联网安全中心 (CIS) Amazon 基金会基准标准和基础安全最佳实践标准中的多个控件都使用该 Amazon Config 规则iam-password-policy。每次 Security Hub Amazon Config 根据该规则运行检查时，它会为每个相关控件生成一个单独的调查结果，但只对检查收取一次费用。

整合的控件调查发现

如果在您的账户中启用了合并控制结果，Security Hub 会为控件的每项安全检查生成一个新的发现或发现更新，即使某项控件适用于多个启用的标准。要查看控件列表及其适用的标准，请参阅 Security Hub 控件参考。我们建议启用整合的控件调查发现以减少调查发现噪音。

如果您在 2023 年 2 月 23 日 Amazon Web Services 账户之前启用了 Security Hub，则可以按照本节后面的说明启用合并控制结果。如果 2023 年 2 月 23 日当天或之后启用 Security Hub，则账户中会自动启用整合的控件调查发现。但是，如果您使用 Security Hub 与 Amazon Organizations的集成，或使用通过手动邀请流程邀请的成员账户，则只有在管理员账户中启用了整合的控件调查发现后，才会在成员账户中启用整合的控件调查发现。如果该功能在管理员账户中禁用，则在成员账户中也会禁用。此行为适用于新的和现有的成员账户。

如果您在账户中禁用整合的控件调查发现，Security Hub 会为每项包含控件的已启用标准生成每项安全检查的单独调查发现。例如，如果四个启用的标准共享一个具有相同基础 Amazon Config 规则的控件，则在对该控件进行安全检查后，您会收到四个不同的结果。如果启用整合的控件调查发现，则只会收到一项调查发现。

启用整合的控件调查发现后，Security Hub 会创建与标准无关的新调查发现，并归档基于标准的原始调查发现。某些控件调查发现字段和值会发生变化，并可能影响现有的工作流程。有关这些更改的更多信息，请参阅整合的控件调查发现——ASFF 的变化。

启用合并控制结果还可能影响集成第三方产品从 Security Hub 收到的调查结果。Amazon v2.0.0 上的自动安全响应支持整合的控制结果。

要启用或禁用整合的控件调查发现，您必须登录管理员账户或独立账户。

注意

启用整合的控件调查发现后，Security Hub 最多可能需要 24 小时才能生成新的整合调查发现并归档基于标准的原始调查发现。同样，禁用整合的控件调查发现后，Security Hub 最多可能需要 24 小时才能生成基于标准的新调查发现并归档整合的调查发现。在此期间，您可能会在账户中同时看到与标准无关的调查发现和基于标准的调查发现。

生成新发现与更新现有发现

Security Hub 按计划运行安全检查。随后对给定控件进行检查可以生成新的结果。例如，控件的状态可能从变FAILED为PASSED。在这种情况下，Security Hub 会生成一个包含最新结果的新发现。

如果对给定规则的后续检查生成的结果与当前结果相同，Security Hub 会更新现有结果。不会生成新结果。

如果关联的资源被删除、资源不存在或控件被禁用，Security Hub 会自动存档控件的调查发现。资源可能已不存在，因为当前未使用关联的服务。结果将根据以下条件之一自动存档：

调查结果在 3-5 天内未更新（请注意，这是尽力而为，不能保证）。
相关的 Amazon Config 评估结果已返回NOT_APPLICABLE。

控制发现自动化和抑制

您可以使用 Security Hub 自动化规则来更新或隐藏特定的控制结果。当你隐瞒某项发现时，仍然可以在你的账户中访问该搜索结果，但这表明你认为无需采取任何措施即可解决该发现。通过抑制不相关的发现，可以减少查找噪音。例如，您可以禁止在测试帐号中生成的控制结果。或者，您可以隐藏与特定资源相关的搜索结果。有关自动更新或隐藏查找结果的更多信息，请参阅了解 Security Hub 中的自动化规则。

当您想要更新或隐藏特定的控制结果时，自动化规则是合适的。但是，如果某个控件与您的组织或用例无关，我们建议您禁用该控件。当您禁用某个控件时，Security Hub 不会对其进行安全检查，也不会向您收费。

控制结果的合规性详情

对于控件安全检查生成的调查结果， Amazon 安全调查结果格式 (ASFF) 中的Compliance字段包含与控制结果相关的详细信息。Compliance 字段包含以下信息。

AssociatedStandards: 启用控件的启用标准。
RelatedRequirements: 所有启用标准中控件的相关要求清单。这些要求来自第三方安全框架的控制，例如支付卡行业数据安全标准 (PCI DSS)。
SecurityControlId: Security Hub 支持的各类安全标准控制的标识符。
Status: Security Hub 针对给定控件运行的最新检查的结果。之前检查的结果将保持存档状态 90 天。
StatusReasons: 包含 Compliance.Status 值的原因列表。对于每个原因，StatusReasons 包括原因代码和说明。

下表列出了可用的状态原因代码和说明。补救步骤取决于哪个控件生成了带有原因代码的调查发现。从 Security Hub 控件参考中选择一个控件以查看该控件的修复步骤。

原因代码	Compliance.Status	描述
`CLOUDTRAIL_METRIC_FILTER_NOT_VALID`	`FAILED`	多区域 CloudTrail 跟踪没有有效的指标筛选条件。
`CLOUDTRAIL_METRIC_FILTERS_NOT_PRESENT`	`FAILED`	多区域 CloudTrail 跟踪不存在指标筛选条件。
`CLOUDTRAIL_MULTI_REGION_NOT_PRESENT`	`FAILED`	该账户没有具有所需配置的多区域 CloudTrail 跟踪。
`CLOUDTRAIL_REGION_INVAILD`	`WARNING`	多区域 CloudTrail 跟踪不在当前区域中。
`CLOUDWATCH_ALARM_ACTIONS_NOT_VALID`	`FAILED`	不存在有效的警报操作。
`CLOUDWATCH_ALARMS_NOT_PRESENT`	`FAILED`	CloudWatch 账户中不存在警报。
`CONFIG_ACCESS_DENIED`	`NOT_AVAILABLE` Amazon Config 状态是 `ConfigError`	Amazon Config 访问被拒绝。确认已 Amazon Config 启用并已被授予足够的权限。
`CONFIG_EVALUATIONS_EMPTY`	`PASSED`	Amazon Config 根据规则评估了您的资源。该规则不适用于其范围内的 Amazon 资源，指定的资源已被删除，或者评估结果被删除。
`CONFIG_RECORDER_CUSTOM_ROLE`	`FAILED`（用于配置 1）	Amazon Config 记录器使用自定义 IAM 角色而不是 Amazon Config 服务相关角色，并且 Config.1 的`includeConfigServiceLinkedRoleCheck`自定义参数未设置为。`false`
`CONFIG_RECORDER_DISABLED`	`FAILED`（用于配置 1）	Amazon Config 在配置记录器开启的情况下未启用。
`CONFIG_RECORDER_MISSING_REQUIRED_RESOURCE_TYPES`	`FAILED`（用于配置 1）	Amazon Config 并未记录与启用的 Security Hub 控件对应的所有资源类型。为以下资源开启录制:`Resources that aren't being recorded`.
`CONFIG_RETURNS_NOT_APPLICABLE`	`NOT_AVAILABLE`	合规性状态`NOT_AVAILABLE`是因为 Amazon Config 返回的状态为 “不适用”。 Amazon Config 未提供该状态的原因。以下是不适用状态的一些可能原因：该资源已从 Amazon Config 规则的范围中删除。该 Amazon Config 规则已删除。资源已删除。 Amazon Config 规则逻辑可能会生成 “不适用” 状态。
`CONFIG_RULE_EVALUATION_ERROR`	`NOT_AVAILABLE` Amazon Config 状态是 `ConfigError`	此原因代码用于几种不同类型的评估错误。描述提供了具体的原因信息。错误类型可以是以下类型之一：由于缺乏权限而无法执行评估。描述提供缺少的特定权限。参数缺少值或值无效。描述提供参数和参数值的要求。从 S3 存储桶读取时出错。描述标识存储桶并提供特定错误。缺少 Amazon 订阅。评估时出现一般超时。账户暂停。
`CONFIG_RULE_NOT_FOUND`	`NOT_AVAILABLE` Amazon Config 状态是 `ConfigError`	该 Amazon Config 规则正在创建中。
`INTERNAL_SERVICE_ERROR`	`NOT_AVAILABLE`	出现未知错误。
`LAMBDA_CUSTOM_RUNTIME_DETAILS_NOT_AVAILABLE`	FAILED	Security Hub 无法对自定义 Lambda 运行时系统执行检查。
`S3_BUCKET_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	该调查发现处于 `WARNING` 状态，因为与此规则关联的 S3 存储桶位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_SUBSCRIPTION_NOT_PRESENT`	`FAILED`	CloudWatch 日志指标筛选条件没有有效的 Amazon SNS 订阅。
`SNS_TOPIC_CROSS_ACCOUNT`	WARNING	该调查发现处于一种 `WARNING` 状态。与此规则关联的 SNS 主题由其他账户拥有。当前账户无法获取订阅信息。拥有 SNS 主题的账户必须向当前账户授予访问 SNS 主题的 `sns:ListSubscriptionsByTopic` 权限。
`SNS_TOPIC_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	该调查发现处于 `WARNING` 状态，因为与此规则关联的 SNS 主题位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_TOPIC_INVALID`	`FAILED`	与此规则关联的 SNS 主题无效。
`THROTTLING_ERROR`	`NOT_AVAILABLE`	相关 API 操作超出了允许的速率。

ProductFields 控制结果的详细信息

当 Security Hub 运行安全检查并生成控件调查发现时，ASFF 中的 ProductFields 属性包括以下字段：

ArchivalReasons:0/Description

描述 Security Hub 为何对现有调查发现进行存档。

例如，当您禁用控件或标准以及打开或关闭整合的控件调查发现时，Security Hub 会存档现有调查发现。

ArchivalReasons:0/ReasonCode

提供了 Security Hub 存档现有调查发现的原因。

例如，当您禁用控件或标准以及打开或关闭整合的控件调查发现时，Security Hub 会存档现有调查发现。

StandardsGuideArn 或 StandardsArn

与控件关联的标准的 ARN。

对于 CIS Amazon 基金会基准标准，字段为StandardsGuideArn。

对于 PCI DSS 和 Amazon 基础安全最佳实践标准，字段为。StandardsArn

如果您启用整合的控件调查发现，这些字段会被移除，取而代之的是 Compliance.AssociatedStandards。

StandardsGuideSubscriptionArn 或 StandardsSubscriptionArn

账户订阅该标准的 ARN。

对于 CIS Amazon 基金会基准标准，字段为StandardsGuideSubscriptionArn。

对于 PCI DSS 和 Amazon 基础安全最佳实践标准，字段为。StandardsSubscriptionArn

如果您启用整合的控件调查发现，这些字段会被移除。

RuleId 或 ControlId

控件的标识符。

对于 CIS Amazon 基金会基准标准，字段为RuleId。

对于其他标准，该字段为 ControlId。

如果您启用整合的控件调查发现，这些字段会被移除，取而代之的是 Compliance.SecurityControlId。

RecommendationUrl

控件修正信息的 URL。如果您启用整合的控件调查发现，该字段会被移除，取而代之的是 Remediation.Recommendation.Url。

RelatedAWSResources:0/name

与调查发现关联的资源的名称。

RelatedAWSResource:0/type

与控件关联的资源类型。

StandardsControlArn

控件的 ARN。如果您启用整合的控件调查发现，该字段会被移除。

aws/securityhub/ProductName

对于基于控件的调查发现，产品名称为 Security Hub。

aws/securityhub/CompanyName

对于基于控制的调查结果，公司名称为。 Amazon

aws/securityhub/annotation

对控件所发现问题的描述。

aws/securityhub/FindingId

调查发现的标识符。如果您启用整合的控件调查发现，该字段不会引用标准。

控制结果的严重性级别

分配给 Security Hub 控件的“严重性”确定了该控件的重要性。对照的严重性决定了分配给对照调查发现的严重性标签。

严重性条件

控制的严重程度是根据对以下标准的评估来确定的：

威胁行为者利用与控制相关的配置弱点有多困难？

难度取决于利用弱点执行威胁场景所需的复杂程度。
这种弱点导致你的 Amazon Web Services 账户资源受损的可能性有多大？

您的资源泄露意味着您的数据 Amazon Web Services 账户或 Amazon 基础架构的机密性、完整性或可用性在某种程度上受到损害。

入侵的可能性表明威胁情景导致您的 Amazon 服务或资源中断或泄露的可能性有多大。

例如，考虑以下配置缺点：

用户访问密钥不是每 90 天轮换一次。
IAM 根用户密钥存在。

对于攻击者来说，这两个弱点同样难以利用。在这两种情况下，攻击者都可以使用凭证盗窃或其他方法来获取用户密钥。然后，他们可以使用它以未经授权的方式访问您的资源。

但是，如果威胁行为者获取了根用户访问密钥，则受到损害的可能性会更高，因为这为他们提供了更大的访问权限。因此，根用户密钥漏洞的严重性更高。

严重性未考虑底层资源的重要程度。严重性是指与调查发现关联的资源的重要性级别。例如，与任务关键型应用程序关联的资源比与非生产测试关联的资源更重要。要获取资源重要性信息，请使用 Amazon 安全调查结果格式 (ASFF) 的Criticality字段。

下表将漏洞利用的难度和受损的可能性映射到安全标签。

	极有可能受损	可能受损	不太可能受损	受损的可能性极小
非常容易被利用	重大	重大	高	中
有点容易被利用	重大	高	中	中
有点难以利用	高	中	中	低
很难被利用	中	中	低	低

严重性定义

严重性标签的定义如下：

严重——应立即修复问题以避免问题升级。

例如，开放的 S3 存储桶被视为具有“严重”严重性的结果。由于许多威胁行为者会扫描开放的 S3 存储桶，因此暴露的 S3 存储桶中的数据很可能会被其他人发现和访问。

一般而言，公开访问的资源被视为关键的安全问题。您应该以最紧迫的态度对待关键结果。您还应该考虑资源的重要程度。

高——该问题必须作为近期优先事项予以解决。

例如，如果默认 VPC 安全组对入站和出站流量开放，则其被视为高严重性。使用这种方法，威胁行为者很容易入侵 VPC。一旦资源进入 VPC，威胁行为者也有可能破坏或泄露资源。

Security Hub 建议您将高严重性结果视为近期优先事项。您应该立即采取补救措施。您还应该考虑资源的重要程度。

中度——该问题应作为中期优先事项加以解决。

例如，对传输中数据缺乏加密被认为是中等严重性的调查发现。它需要复杂的 man-in-the-middle攻击才能利用这个弱点。换句话说，这有点困难。如果威胁情景成功，某些数据可能会被泄露。

Security Hub 建议您尽早调查受影响的资源。您还应该考虑资源的重要程度。

低——无需针对问题执行任何操作。

例如，未能收集取证信息被视为严重性较低。这种控制可以帮助防止未来的受损，但是缺乏取证并不能直接导致受损。

您无需对低严重性结果立即采取操作，但是当您将这些结果与其他问题关联时，它们可以提供背景信息。

信息——未结果任何配置漏洞。

换言之，状态为 PASSED、WARNING 或 NOT AVAILABLE。

没有建议的操作。信息性结果可帮助客户证明其处于合规状态。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

有关运行安全检查的计划

合规性状态和控件状态