Compliance ProductFields Severity 更新控制结果的规则

生成和更新控制结果

在针对为启用的安全标准启用的控制运行检查时，Amazon Security Hub 将生成结果。这些结果使用 Amazon Security Finding 格式 (ASFF)。请注意，如果查找结果大小超过 240 KB 的最大值，则Resource.Details对象被删除。对于使用Amazon Config规则，您可以在Amazon Config控制台。

Security Hub 通常为控件的每次安全检查收费。但是，如果多个控件使用相同的Amazon Config规则，则 “Security Hub” 仅针对Amazon Config规则。它会根据检查为每个控件生成单独的发现。

例如，Amazon Config规则iam-password-policy被 CIS 中的多个控件使用Amazon基础基准基准标准和 IAM.7 在基础安全最佳实践标准中。每次 Security Hub 运行一个检查Amazon Config规则，它会为每个相关控件生成一个单独的查找结果，但只对该检查收取一次费用。

Compliance

对于通过安全检查生成的调查结果，Compliance字段包含与控制相关的结果详细信息。Compliance 字段包含以下信息。

RelatedRequirements: 控制的相关要求列表。这些要求来自控制的第三方安全框架，例如支付卡行业数据安全标准。
Status: Security Hub 针对给定控制运行的最新检查的结果。之前检查的结果将保持存档状态 90 天。
StatusReasons: 包含值的原因列表，其值为Compliance.Status。对于每个原因，StatusReasons 包括原因代码和说明。

下表列出了可用的状态原因代码和描述。

原因代码	Compliance.Status	描述
`CLOUDTRAIL_METRIC_FILTER_NOT_VALID`	`FAILED`	多区域 CloudTrail 踪没有有效的指标筛选器。
`CLOUDTRAIL_METRIC_FILTERS_NOT_PRESENT`	`FAILED`	多区域 CloudTrail 跟踪不存在指标筛选器。
`CLOUDTRAIL_MULTI_REGION_NOT_PRESENT`	`FAILED`	该账户没有具备所需配置的多区域 CloudTrail 跟踪。
`CLOUDTRAIL_REGION_INVAILD`	`WARNING`	多区域 CloudTrail 不在当前区域中。
`CLOUDWATCH_ALARM_ACTIONS_NOT_VALID`	`FAILED`	不存在有效的警报操作。
`CLOUDWATCH_ALARMS_NOT_PRESENT`	`FAILED`	账户中不存在云监视警报。
`CONFIG_ACCESS_DENIED`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	Amazon Config 拒绝访问验证 Amazon Config 是否已启用并已授予足够的权限。
`CONFIG_EVALUATIONS_EMPTY`	`PASSED`	Amazon Config根据规则评估了您的资源。规则不适用于其范围内的 Amazon 资源，指定的资源已删除，或者评估规则已删除。
`CONFIG_RETURNS_NOT_APPLICABLE`	`NOT_AVAILABLE`	合规性状态为`NOT_AVAILABLE`由于Amazon Config返回的状态为不适用。 Amazon Config不提供状态的原因。以下是一些可能的原因不适用状态：该资源已从Amazon Config规则。这些区域有：Amazon Config规则已删除。已删除资源。这些区域有：Amazon Config规则逻辑可以产生不适用状态。
`CONFIG_RULE_EVALUATION_ERROR`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	此原因代码用于几种不同类型的评估错误。描述提供了具体的原因信息。错误类型可以是以下类型之一：由于缺乏权限而无法执行评估。描述提供缺少的特定权限。参数缺少值或值无效。描述提供参数和参数值的要求。从 S3 存储桶读取时出错。描述标识存储桶并提供特定错误。缺少 Amazon 订阅。评估时出现一般超时。账户暂停。
`CONFIG_RULE_NOT_FOUND`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	这些区域有：Amazon Config规则正在创建。
`INTERNAL_SERVICE_ERROR`	`NOT_AVAILABLE`	出现未知错误。
`S3_BUCKET_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	这个结果是在`WARNING`状态，因为与此规则关联的 S3 存储桶位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_SUBSCRIPTION_NOT_PRESENT`	`FAILED`	CCloudWatch Logs 指标筛选器没有有效的 Amazon SNS 订阅。
`SNS_TOPIC_CROSS_ACCOUNT`	WARNING	这一发现是在`WARNING`状态。与此规则关联的 SNS 主题由不同的账户拥有。当前账户无法获取订阅信息。拥有 SNS 主题的帐户必须向当前帐户授予`sns:ListSubscriptionsByTopic`SNS 主题的权限。
`SNS_TOPIC_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	这一发现是在`WARNING`状态，因为与此规则关联的 SNS 主题位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_TOPIC_INVALID`	`FAILED`	与此规则关联的 SNS 主题无效。
`THROTTLING_ERROR`	`NOT_AVAILABLE`	相关 API 操作超出了允许的速率。

ProductFields

对于安全检查生成的调查结果，ProductFields包含以下字段：

StandardsGuideArn 或者 StandardsArn

与控制关联的标准的 ARN。

独联体Amazon基准基准标准，该领域是StandardsGuideArn。

PCI DSS 和Amazon基础安全最佳实践标准，该字段为StandardsArn。

StandardsGuideSubscriptionArn 或者 StandardsSubscriptionArn

账户对标准的订阅的 ARN。

独联体Amazon基准基准标准，该领域是StandardsGuideSubscriptionArn。

对于 PCI DSS 和Amazon基础安全最佳实践标准，该字段为StandardsSubscriptionArn。

RuleId 或者 ControlId

控件的标识符。

独联体Amazon基准基准标准，该领域是RuleId。

对于 PCI DSS 和Amazon基础安全最佳实践标准，该字段为ControlId。

RecommendationUrl

控件的修正信息的 URL。

RelatedAWSResources:0/name

与结果关联的资源的名称。

RelatedAWSResource:0/type

与控制关联的资源类型。

StandardsControlArn

控制的 ARN。

aws/securityhub/ProductName

对于基于控制的查找结果，产品名称为 “Security Hub”。

aws/securityhub/CompanyName

对于基于控制的调查结果，公司名称为Amazon。

aws/securityhub/annotation

控件发现的问题的描述。

aws/securityhub/FindingId

查找结果的标识符。

Severity

分配给 Security Hub 控件的严重性标识控件的重要性。它确定分配给控制查找结果的严重性标签。

严重性标准

控制的严重性是根据对以下条件的评估确定的：

威胁行为者利用与控制相关的配置弱点有多困难？

难度取决于利用弱点实施威胁情景所需的复杂程度或复杂程度。
它是多少可能的弱点会导致你的妥协Amazon帐户或资源？

您的妥协Amazon账户或资源意味着您数据的机密性、完整性或可用性或Amazon基础设施在某种程度上被破坏。

受到损害的可能性表明威胁情形会导致您的Amazon服务或资源.

例如，考虑以下配置缺陷：

IAM 用户访问密钥不会每 90 天轮换一次。
IAM 根访问密钥存在。

对手来说，这两个弱点同样难以利用。在这两种情况下，对手都可以使用凭据窃取或其他方法来获取用户密钥。然后，他们可以使用它以未经授权的方式访问您的资源。

但是，如果威胁行为者获得 root 用户访问密钥，则受到破坏的可能性要高得多，因为根密钥为他们提供了更大的访问权限。因此，根用户密钥缺陷具有更高的严重性。

严重性不考虑底层资源的严重性。严重性是与结果关联的资源的重要性级别。例如，与任务关键型应用程序关联的资源比与非生产测试关联的资源更为关键。要捕获资源重要性信息，请使用Criticality字段中的AmazonSecurity Funning 格式 (ASFF)。

下表将利用的难度和损害的可能性映射到安全标签。

	很可能出现妥协	可能出现妥协	不太可能妥协	极不可能妥协
非常容易利用	重大	重大	高	中
有点容易利用	重大	高	中	中
有些难以利用	高	中	中	低
非常难以利用	中	中	低	低

严重性定义

严重性标签定义如下。

严重 — 应立即纠正此问题，以避免它升级。

例如，开放的 S3 存储桶被视为具有“严重”严重性的结果。由于如此多的参与者对开放的 S3 存储桶进行扫描，因此，公开的 S3 存储桶中的数据可能会被其他人发现和访问。

一般而言，公开可访问的资源被认为是关键的安全问题。您应该以最紧迫的态度处理重要的发现。您还应考虑资源的重要性。

高 — 必须将此问题作为短期优先解决。

例如，如果默认 VPC 安全组对入站和出站流量开放，则将其视为高严重性。威胁行为者使用此方法破坏 VPC 有点容易。一旦资源位于 VPC 中，威胁行为者也很可能会中断或泄露资源。

Security Hub 建议您将高严重性查找作为近期优先事项处理。您应立即采取补救步骤。您还应考虑资源的重要性。

中度 — 此问题应作为中期优先事项加以解决。

例如，缺少对传输中的数据进行加密将被视为具有 “中等” 严重性的结果。它需要一个复杂的中间人攻击来利用这个弱点。换言之，它有些困难。如果威胁情形成功，某些数据很可能会受到威胁。

Security (Security Hub) 建议您尽可能早调查牵涉的资源。您还应考虑资源的重要性。

低 — 不需要针对问题执行任何操作。

例如，未能收集取证信息被认为是较低的严重性。这种控制有助于防止今后出现妥协，但缺乏法证并不直接导致妥协。

虽然无需立即对具有 “低” 严重性的查找结果执行操作，但此类结果在您将其与其他问题关联时可以提供上下文信息。

信息性 — 未发现配置弱点。

换言之，状态为 PASSED。

没有建议的操作。信息性结果可帮助客户证明其处于合规状态。

更新控制结果的规则

对给定规则进行后续检查可能会生成新的结果。例如，“避免使用根帐户” 的状态可能会从FAILED到PASSED。在这种情况下，将生成一个包含最新结果的新查找结果。

如果根据给定规则进行的后续检查生成与当前结果相同的结果，则更新现有结果。不会生成新结果。

如果删除了关联的资源，资源不存在或控制被禁用，Security Hub 会自动存档来自控制的查找结果。资源可能不再存在，因为当前未使用关联的服务。结果将根据以下条件之一自动存档：

查找结果在三天内没有更新。
关联的 Amazon Config 评估返回了 NOT_APPLICABLE。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

有关运行安全检查的计划

确定控制状态