生成和更新控制结果

在针对为启用的安全标准启用的控制运行检查时，Amazon Security Hub 将生成结果。这些结果使用 Amazon Security Finding 格式 (ASFF)。请注意，如果查找结果大小超过 240 KB 的最大值，那么Resource.Details对象被删除。有关使用控件的调查结果Amazon Config规则，您可以在Amazon Config控制台。

Security Hub 通常会为控件的每次安全检查收费。但是，如果多个控件使用相同的Amazon Config规则，那么 Security Hub 只对每张支票收取一次Amazon Config规则。它根据检查为每个控件生成单独的调查结果。

例如，Amazon Config规则iam-password-policy被独联体的多个控件使用Amazon基金会基准标准和基础安全最佳实践标准中的 IAM.7 标准。每次 Security Hub 都会对此进行检查Amazon Config规则，它为每个相关控件生成单独的调查结果，但只收取一次支票费用。

Compliance

对于安全检查生成的调查结果，Compliance字段中包含与控制相关的结果详细信息。Compliance 字段包含以下信息。

RelatedRequirements: 控制的相关要求列表。这些要求来自控制的第三方安全框架，例如支付卡行业数据安全标准。
Status: Security Hub 运行给定控制的最新检查的结果。之前检查的结果将保持存档状态 90 天。
StatusReasons: 包含值的原因列表Compliance.Status. 对于每个原因，StatusReasons 包括原因代码和说明。

下表列出了可用的状态原因代码和说明。

原因代码	Compliance.Status	描述
`CLOUDTRAIL_METRIC_FILTER_NOT_VALID`	`FAILED`	多区域 CloudTrail 跟踪没有有效的指标筛选器。
`CLOUDTRAIL_METRIC_FILTERS_NOT_PRESENT`	`FAILED`	多区域 CloudTrail 跟踪不存在指标筛选器。
`CLOUDTRAIL_MULTI_REGION_NOT_PRESENT`	`FAILED`	该账户没有具备所需配置的多区域 CloudTrail 跟踪。
`CLOUDTRAIL_REGION_INVAILD`	`WARNING`	多区域 CloudTrail 跟踪不在当前区域中。
`CLOUDWATCH_ALARM_ACTIONS_NOT_VALID`	`FAILED`	不存在有效的警报操作。
`CLOUDWATCH_ALARMS_NOT_PRESENT`	`FAILED`	账户中不存在 CloudWatch 警报。
`CONFIG_ACCESS_DENIED`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	Amazon Config 拒绝访问验证 Amazon Config 是否已启用并已授予足够的权限。
`CONFIG_EVALUATIONS_EMPTY`	`PASSED`	Amazon Config根据规则评估了您的资源。规则不适用于其范围内的 Amazon 资源，指定的资源已删除，或者评估规则已删除。
`CONFIG_RETURNS_NOT_APPLICABLE`	`NOT_AVAILABLE`	合规性状态为`NOT_AVAILABLE`因为Amazon Config返回的状态为不适用. Amazon Config没有提供状态的原因。以下是一些可能需要使用的原因不适用status: 已从 “” 的范围中删除了该资源Amazon Config规则。这些区域有：Amazon Config规则已删除。已删除资源。这些区域有：Amazon Config规则逻辑可以生成不适用status。
`CONFIG_RULE_EVALUATION_ERROR`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	此原因代码用于几种不同类型的评估错误。描述提供了具体的原因信息。错误类型可以是以下类型之一：由于缺乏权限而无法执行评估。描述提供缺少的特定权限。参数缺少值或值无效。描述提供参数和参数值的要求。从 S3 存储桶读取时出错。描述标识存储桶并提供特定错误。缺少 Amazon 订阅。评估时出现一般超时。账户暂停。
`CONFIG_RULE_NOT_FOUND`	`NOT_AVAILABLE` Amazon Config 状态为 `ConfigError`	这些区域有：Amazon Config正在创建规则。
`INTERNAL_SERVICE_ERROR`	`NOT_AVAILABLE`	出现未知错误。
`LAMBDA_CUSTOM_RUNTIME_DETAILS_NOT_AVAILABLE`	已失败	Security Hub 无法对自定义 Lambda 运行时执行检查。
`S3_BUCKET_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	这个发现在`WARNING`state，因为与此规则关联的 S3 存储桶位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_SUBSCRIPTION_NOT_PRESENT`	`FAILED`	CloudWatch Logs 指标筛选器没有有效的 Amazon SNS 订阅。
`SNS_TOPIC_CROSS_ACCOUNT`	WARNING	这个发现在`WARNING`state。与此规则关联的 SNS 主题由不同的账户拥有。当前账户无法获取订阅信息。拥有 SNS 主题的账户必须向当前账户授予`sns:ListSubscriptionsByTopic`SNS 主题的权限。
`SNS_TOPIC_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	这个发现在`WARNING`state，因为与此规则关联的 SNS 主题位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_TOPIC_INVALID`	`FAILED`	与此规则关联的 SNS 主题无效。
`THROTTLING_ERROR`	`NOT_AVAILABLE`	相关 API 操作超出了允许的速率。

ProductFields

对于安全检查生成的调查结果，ProductFields包括以下字段：

StandardsGuideArn 或者 StandardsArn

与控制关联的标准的 ARN。

CISAmazon基金会基准标准，该领域是StandardsGuideArn.

对于 PCI DSS 和Amazon基础安全最佳实践标准，StandardsArn.

StandardsGuideSubscriptionArn 或者 StandardsSubscriptionArn

账户订阅标准的 ARN。

CISAmazon基金会基准标准，该领域是StandardsGuideSubscriptionArn.

对于 PCI DSS 和Amazon基础安全最佳实践标准，StandardsSubscriptionArn.

RuleId 或者 ControlId

控件的标识符。

CISAmazon基金会基准标准，该领域是RuleId.

对于 PCI DSS 和Amazon基础安全最佳实践标准，ControlId.

RecommendationUrl

控件的修正信息的 URL。

RelatedAWSResources:0/name

与查找结果关联的资源的名称。

RelatedAWSResource:0/type

与控制关联的资源类型。

StandardsControlArn

控制的 ARN。

aws/securityhub/ProductName

对于基于控制的结果，产品名称为 Security Hub。

aws/securityhub/CompanyName

对于基于控制的调查结果，公司名称是Amazon.

aws/securityhub/annotation

对控件发现的问题的描述。

aws/securityhub/FindingId

查找结果的标识符。

严重性

分配给 Security Hub 控件的严重性标识了控制的重要性。它决定了分配给控制结果的严重性标签。

严重性标准

控制的严重程度是根据对以下标准的评估来确定的：

威胁行为者利用与控制相关的配置弱点有多困难？

困难取决于利用弱点来实施威胁情景所需的复杂程度或复杂程度。
这种弱点会导致你的妥协的可能性有多大Amazon账户还是资源？

你的妥协Amazon账户或资源意味着您的数据的机密性、完整性或可用性；Amazon基础设施受到某种程度的破坏。

妥协的可能性表明威胁情景有多可能导致您的中断或违反Amazon服务或资源。

例如，考虑以下配置缺陷：

IAM 用户访问密钥不是每 90 天轮换一次。
IAM 根访问密钥存在。

对于对手来说，这两种弱点同样难以利用。在这两种情况下，对手都可以使用凭据盗窃或其他方法获取用户密钥。然后，他们可以使用它以未经授权的方式访问您的资源。

但是，如果威胁行为者获取 root 用户访问密钥，破坏的可能性就要高得多，因为根密钥为他们提供了更大的访问权限。因此，root 用户密钥弱点的严重性更高。

严重性没有考虑底层资源的严重性。严重性是指与结果关联的资源的重要性级别。例如，与任务关键型应用程序关联的资源比与非生产测试关联的资源更为重要。要捕获资源关键程度信息，请使用Criticality字段Amazon安全查找格式 (ASFF)。

下表列出了利用的难度和安全标签受损的可能性。

	妥协极有可能	可能会妥协	妥协不可能	妥协不可能
很容易利用	重大	重大	高	中
有点容易利用	重大	高	中	中
有点难以利用	高	中	中	低
很难利用	中	中	低	低

严重性定义

严重性标签定义如下。

严重性 — 应立即纠正此问题，以避免它升级。

例如，开放的 S3 存储桶被视为具有“严重”严重性的结果。由于如此多的参与者对开放的 S3 存储桶进行扫描，因此公开的 S3 存储桶中的数据可能会被其他人发现和访问。

一般来说，可公开访问的资源被认为是关键的安全问题。你应该最紧迫地对待重要的发现。你还应该考虑资源的重要程度。

高级 — 必须将此问题作为短期优先事项解决。

例如，如果默认 VPC 安全组对入站和出站流量开放，则将其视为高严重性。使用这种方法，威胁行为者可以轻松地破坏 VPC。威胁行为者一旦进入 VPC，也可能能够中断或泄漏资源。

Security Hub 建议将高严重性发现视为短期优先事项。你应该立即采取补救措施。你还应该考虑资源的重要程度。

中 — 这个问题应作为中期优先事项加以解决。

例如，对传输中的数据缺少加密将被视为严重性中等的结果。它需要复杂的中间人攻击才能利用这一弱点。换言之，这有点困难。如果威胁情景成功，有些数据很可能会被泄露。

Security Hub 建议您尽可能早调查涉及的资源。你还应该考虑资源的重要程度。

低 — 问题不需要单独执行任何操作。

例如，未能收集取证信息被认为是低严重程度。这种控制有助于防止未来的妥协，但缺乏法医并不直接导致妥协。

虽然无需立即对具有 “低” 严重性的结果执行操作，但此类结果将其与其他问题关联时可以提供上下文信息。

信息性 — 未发现配置缺陷。

换言之，状态为 PASSED。

没有建议的操作。信息性结果可帮助客户证明其处于合规状态。

更新控制结果的规则

对给定规则进行后续检查可能会产生新的结果。例如，“避免使用根账户” 的状态可能会从FAILED到PASSED. 在这种情况下，将生成一个包含最新结果的新发现。

如果根据给定规则进行的后续检查生成与当前结果相同的结果，则更新现有结果。不会生成新结果。

如果删除了关联的资源、不存在或控制已禁用，Security Hub 会自动存档来自控制的查找结果。资源可能不再存在，因为当前没有使用关联的服务。结果将根据以下条件之一自动存档：

查找结果在三天内没有更新。
关联的 Amazon Config 评估返回了 NOT_APPLICABLE。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

有关运行安全检查的计划

确定控制状态