在 Security Hub CSPM 中查看调查发现详细信息和历史记录 - Amazon Security Hub
查看调查发现的详细信息和历史记录
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

在 Security Hub CSPM 中查看调查发现详细信息和历史记录

在 Amazon Security Hub CSPM 中，调查发现是安全检查或安全相关检测的可观测记录。在完成对控件的安全检查以及从集成 Amazon Web Services 服务 或第三方产品中提取调查发现时，Security Hub CSPM 会生成调查发现。每项调查发现都包括更改历史记录和其他详细信息，例如严重性评级和有关受影响资源的信息。

您可以在 Security Hub CSPM 控制台上查看各个调查发现的历史记录和其他详细信息，也可以使用 Security Hub CSPM API 或 Amazon CLI 以编程方式查看。

为了帮助您简化分析，Security Hub CSPM 控制台会在您选择特定调查发现时显示调查发现面板。该面板包含不同的菜单和选项卡，用于查看调查发现的具体详细信息。

操作菜单

在此菜单中，您可以查看调查发现的完整 JSON 或添加注释。一项调查发现一次只能附上一个注释。此菜单还提供用于在 Amazon EventBridge 中设置调查发现的工作流状态或将调查发现发送到自定义操作的选项。

调查菜单

在这个菜单中，您可以在 Amazon Detective 中对调查发现进行调查。Detective 会从调查发现中提取实体（例如 IP 地址和 Amazon 用户），并可视化其活动。您可以使用实体活动作为起点对调查发现的原因和影响进行调查。

Overview”(概述) 选项卡

此选项卡提供调查发现的摘要。例如，您可以确定调查发现的创建时间和上次更新时间、调查发现所在的账户以及调查发现的来源。对于控件调查发现，此选项卡还会显示关联的 Amazon Config 规则的名称以及指向 Security Hub CSPM 文档中补救指导的链接。

在概述选项卡上的资源快照中，您可以获得调查发现中涉及的资源的简要概述。对于某些资源，这包括打开资源选项，其直接链接到相关 Amazon Web Services 服务控制台上的受影响资源。历史记录快照最多会显示在所跟踪历史记录的最近日期对调查发现所做的两次更改。例如，如果您昨天进行了更改，今天又进行了另一个更改，则快照会显示今天的更改。要查看之前的条目，请切换到历史记录选项卡。

展开合规行将显示更多详细信息。例如，如果某个控件包含参数，您可以查看 Security Hub CSPM 在对该控件进行安全检查时当前使用的参数值。

资源”选项卡

此选项卡提供有关调查发现中涉及的资源的详细信息。如果您已登录到拥有资源的账户，则可以在相应的 Amazon Web Services 服务控制台中查看该资源。如果您不是资源的拥有者，则此选项卡会显示所有者的 Amazon Web Services 账户 ID。

详细信息行显示调查发现中特定于资源的详细信息。它以 JSON 格式显示调查发现的 ResourceDetails 部分。

标签行显示分配给调查发现中涉及的资源的标签键和值。可以标记 Amazon Resource Groups 标记 API 的 GetResources 操作支持的资源。Security Hub CSPM 在处理新的或更新的调查发现时，会使用服务相关角色调用此操作，并且如果 Amazon 安全调查发现格式 (ASFF) Resource.Id 字段填充了资源的 ARN，则会检索资源标签。Security Hub CSPM 会忽略无效的资源 ID。有关在调查发现中包含资源标签的更多信息，请参阅 标签。

“历史记录”选项卡

此选项卡跟踪调查发现的历史记录。调查发现的历史记录适用于活动和已归档的调查发现。它提供随着时间推移对调查发现所做的更改的不可改变跟踪，包括 ASFF 字段更改的内容、更改发生的时间以及由哪个用户所做的更改。选项卡上的每个页面最多显示 20 个更改。最近的更改优先显示。

对于活跃调查发现，调查发现历史记录最多可保留 90 天。对于存档的调查发现，调查发现历史记录最多可保留 30 天。调查发现历史记录包括手动进行的更改或通过 Security Hub CSPM 自动化规则自动进行的更改。它不包括对顶级时间戳字段的更改，例如 CreatedAt 和 UpdatedAt 字段。

如果您登录了 Security Hub CSPM 管理员账户，则显示该管理员账户和所有成员账户的调查发现历史记录。

威胁”选项卡

此选项卡包括 ASFF 的 Action、Malware 和 ProcessDetails 对象的数据，包括威胁类型以及资源是目标还是角色。这些详细信息通常适用于源自 Amazon GuardDuty 的调查发现。

漏洞”选项卡

此选项卡显示 ASFF 的 Vulnerability 对象的数据，包括是否存在与调查发现关联的漏洞或可用的修复程序。这些详细信息通常适用于源自 Amazon Inspector 的调查发现。

每个选项卡上的行都包含复制或筛选选项。例如，如果您打开了工作流状态为已通知的调查发现的面板，则可以选择工作流状态行旁边的筛选选项。如果选择显示包含此值的所有调查发现，则 Security Hub CSPM 会筛选调查发现表格，仅显示具有相同工作流状态的调查发现。

查看调查发现的详细信息和历史记录

选择您喜欢的方法，然后按照以下步骤在 Security Hub CSPM 中查看调查发现详细信息。

如果您启用了跨区域聚合并登录了聚合区域，则调查发现将包括来自聚合区域和关联区域的数据。在其他区域，调查发现数据仅特定于当前区域。有关跨区域聚合的更多信息，请参阅 了解 Security Hub CSPM 中的跨区域聚合。

Security Hub CSPM console
查看调查发现的详细信息和历史记录

  1. 打开 Amazon Security Hub CSPM 控制台，网址为 https://console.aws.amazon.com/securityhub/。

  2. 要显示调查发现列表，请执行以下操作之一：

    • 在导航窗格中，选择 调查发现。根据需要添加搜索筛选条件以缩小调查发现列表的范围。

    • 在导航窗格中，选择 Insights。选择见解。然后在结果列表中，选择一个见解结果。

    • 在导航窗格中，选择集成。选择查看集成的调查发现。

    • 在导航窗格中，选择控件。

  3. 选择一个调查发现。调查发现面板显示调查发现的详细信息。

  4. 在调查发现面板中，执行以下任一操作：

    • 要查看调查发现的特定详细信息，请选择一个选项卡。

    • 要对调查发现采取行动，请从操作菜单中选择一个选项。

    • 要在 Amazon Detective 中调查调查发现，请选择调查选项。

注意

如果您与 Amazon Organizations 集成并且登录了成员账户，则调查发现面板会包括账户名称。对于手动邀请而非通过 Organizations 邀请的成员账户，调查发现面板仅包括账户 ID。

Security Hub CSPM API

使用 Security Hub CSPM API 的 GetFindings 操作，或者如果您使用 Amazon CLI，请运行 get-findings 命令。您可以为 Filters 参数提供一个或多个值，以缩小要检索的调查发现的范围。

如果调查发现的数量过大，则可以使用 MaxResults 参数将调查发现限制为指定数量，并使用 NextToken 参数对调查发现进行分页。使用 SortCriteria 参数以按特定字段对调查发现进行排序。

例如，以下 Amazon CLI 命令会检索与指定的筛选条件匹配的调查发现，并按 LastObservedAt 字段降序对结果进行排序。此示例是针对 Linux、macOS 或 Unix 进行格式化的，它使用反斜杠 (\) 行继续符来提高可读性。

$ aws securityhub get-findings \
--filters '{"GeneratorId":[{"Value": "aws-foundational","Comparison":"PREFIX"}],"WorkflowStatus": [{"Value": "NEW","Comparison":"EQUALS"}],"Confidence": [{"Gte": 85}]}' --sort-criteria '{"Field": "LastObservedAt","SortOrder": "desc"}' --page-size 5 --max-items 100

要查看调查发现的历史记录，请使用 GetFindingHistory 操作。如果您使用的是 Amazon CLI，请运行 get-finding-history 命令。使用 ProductArn 和 Id 字段确定要获取历史记录的调查发现。有关这些字段的信息，请参阅 AwsSecurityFindingIdentifier。每个请求只能检索一个调查发现的历史记录。

例如，以下 Amazon CLI 命令将检索指定调查发现的历史记录。此示例是针对 Linux、macOS 或 Unix 进行格式化的，它使用反斜杠 (\) 行继续符来提高可读性。

$ aws securityhub get-finding-history \
--region us-west-2 \
--finding-identifier Id="a1b2c3d4-5678-90ab-cdef-EXAMPLE11111",ProductArn="arn:aws:securityhub:us-west-2:123456789012:product/123456789012/default" \
--max-results 2 \
--start-time "2021-09-30T15:53:35.573Z" \
--end-time "2021-09-31T15:53:35.573Z"
PowerShell

使用 Get-SHUBFinding cmdlet。或者，填充 Filter 参数以缩小要检索的调查发现的范围。

例如，以下 cmdlet 将检索与指定的筛选条件匹配的调查发现

Get-SHUBFinding -Filter @{AwsAccountId = [Amazon.SecurityHub.Model.StringFilter]@{Comparison = "EQUALS"; Value = "XXX"};ComplianceStatus = [Amazon.SecurityHub.Model.StringFilter]@{Comparison = "EQUALS"; Value = 'FAILED'}}
注意

如果按 CompanyName 或 ProductName 筛选调查发现，Security Hub 会使用属于 ProductFields ASFF 对象一部分的值。Security Hub CSPM 不使用顶级 CompanyName 和 ProductName 字段。