集成 Amazon Web Service 与 Amazon Security Hub

Security Hub 中的所有调查发现都使用 ASFF 的标准 JSON 格式。ASFF 包括有关调查发现来源、受影响资源以及调查发现当前状态的详细信息。Amazon Config 通过 EventBridge 向 Security Hub 发送托管和自定义规则评估。Security Hub 将规则评估转化为遵循 ASFF 的调查发现，并尽最大努力丰富调查发现。

Amazon Config 发送到 Security Hub 的调查发现类型

激活集成后，Amazon Config 会向 Security Hub 发送所有 Amazon Config 托管规则和自定义规则的评估结果。仅排除来自服务相关 Amazon Config 规则的评估，例如用于对安全控件进行检查的评估。

停止 Amazon Config 向 Security Hub 发送调查发现

激活集成后，Security Hub 将自动分配从 Amazon Config 中接收调查发现所需的权限。Security Hub 使用服务到服务级别的权限，为您提供一种安全的方式来激活此集成并通过 Amazon EventBridge 从 Amazon Config 中导入调查发现。

发送调查发现的延迟

Amazon Config 创建新调查发现时，您通常可以在五分钟内在 Security Hub 中查看该调查发现。

Security Hub 不可用时重试

Amazon Config 尽最大努力通过 EventBridge 将调查发现发送到 Security Hub。当事件未成功传送到 Security Hub 时，EventBridge 会重试投递最多 24 小时或 185 次，以先到者为准。

更新 Security Hub 中的现有 Amazon Config 结果

向 Security Hub 发送调查发现后，Amazon Config 可以向 Security Hub 发送对同一调查发现的更新，以反映对调查发现活动的其他观测结果。仅针对 ComplianceChangeNotification 事件发送更新。如果没有发生合规性变化，则不会向 Security Hub 发送更新。Security Hub 会在最近一次更新后的 90 天或(如果没有更新)创建后的 90 天删除结果。

存在 Amazon Config 调查发现的区域

Amazon Config 调查发现以区域为基础出现。Amazon Config 将调查发现发送到调查发现所在的一个或多个区域的 Security Hub。

要查看您的 Amazon Config 调查发现，请从 Security Hub 导航窗格中选择调查发现。要筛选调查发现以仅显示 Amazon Config 调查发现，请在搜索栏下拉列表中选择产品名称。输入Config，然后选择应用。

解释 Security Hub 中的 Amazon Config 调查发现名称

Security Hub 将 Amazon Config 规则评估转化为遵循 Amazon 安全调查结果格式 (ASFF) 的调查发现。与 ASFF 相比，Amazon Config 规则评估使用了不同的事件模式。下表将 Amazon Config 规则评估字段与 Security Hub 中出现的 ASFF 对应字段进行了映射。

解释严重性标签

Amazon Config 规则评估的所有调查发现在 ASFF 中都有一个默认的严重性标签为中等。您可以通过 BatchUpdateFindings API 操作更新调查发现的严重性标签。

来自 Amazon Config 的典型结果

Security Hub 将 Amazon Config 规则评估转换为遵循 ASFF 的调查发现。下面是 ASFF 中 Amazon Config 的典型调查发现的示例。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::config-integration-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

启用 Security Hub 后，此集成将自动激活。Amazon Config 立即开始将调查发现发送到 Security Hub。

要停止向 Security Hub 发送调查发现,可以使用 Security Hub 控制台、Security Hub API 或 Amazon CLI。

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成（Security Hub API, Amazon CLI）的调查发现流。

在 Security Hub 中，安全问题按结果进行跟踪。一些调查发现来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub 还有一套用于检测安全问题和生成结果的规则。

Security Hub 提供了管理来自所有这些来源的结果的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅 在 Amazon Security Hub中查看调查发现列表和详细信息。您还可以跟踪结果的调查状态。请参阅 对中的调查结果采取行动 Amazon Security Hub。

Security Hub 中的所有结果都使用标准的 JSON 格式，称为 Amazon 安全调查结果格式 (ASFF)。ASFF 包括有关问题根源、受影响资源以及调查发现当前状态的详细信息。

Amazon Health 是一项 Amazon 服务，可将检测结果发送到 Security Hub。

Amazon Health 发送到 Security Hub 的调查发现类型

启用集成后，Amazon Health 会将其生成的所有与安全相关的调查发现发送到 Security Hub。使用 Amazon 安全调查结果格式 (ASFF) 将调查发现发送到 Security Hub。与安全相关的调查发现定义如下：

停止 Amazon Health 向 Security Hub 发送调查发现

当您选择接受来自 Amazon Health 的调查发现时，Security Hub 将自动分配从 Amazon Health 中接收调查发现所需的权限。Security Hub 使用服务到服务的权限级别，为您提供了一种安全、轻松的方式来启用此集成并通过 Amazon EventBridge 代表您从 Amazon Health 导入结果。选择接受调查发现会授予 Security Hub 使用 Amazon Health 中的调查发现的权限。

发送调查发现的延迟

Amazon Health 创建新调查发现时，通常会在 5 分钟内将调查发现发送到 Security Hub。

Security Hub 不可用时重试

Amazon Health 尽最大努力通过 EventBridge 将调查发现发送到 Security Hub。当事件未成功传送到 Security Hub 时，EventBridge 会在 24 小时内重试发送该事件。

更新 Security Hub 中的现有结果

向 Security Hub 发送调查发现后，Amazon Health 可以向 Security Hub 发送对同一调查发现的更新，以反映对调查发现活动的其他观测结果。

存在调查发现的区域

对于全球事件，Amazon Health 将调查发现发送到 us-east-1（Amazon 分区）、cn-northwest-1（中国分区）和 gov-us-west-1（GovCloud 分区）的 Security Hub。Amazon Health 将特定于区域的事件发送到事件发生地相同的一个或多个区域的 Security Hub。

要在 Security Hub 中查看您的 Amazon Health 调查发现，请从导航面板中选择调查发现。要筛选结果以仅显示 Amazon Health 结果，请从产品名称字段中选择健康。

解释 Security Hub 中的 Amazon Health 调查发现名称

Amazon Health 使用 Amazon 安全调查结果格式 (ASFF) 将结果发送到 Security Hub。与 Security Hub ASFF 格式相比，Amazon Health 调查发现使用了不同的事件模式。下表详细列出了所有 Amazon Health 调查发现字段，以及其在 Security Hub 中出现的 ASFF 对应类型。

解释严重性标签

ASFF 调查发现中的严重性标签是使用以下逻辑确定的：

来自 Amazon Health 的典型结果

Amazon Health 使用 Amazon 安全调查结果格式 (ASFF) 将结果发送到 Security Hub。下面是 Amazon Health 典型调查发现的示例。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

启用 Security Hub 后，此集成将自动激活。Amazon Health 立即开始将结果发送到 Security Hub。

要停止向 Security Hub 发送调查发现,可以使用 Security Hub 控制台、Security Hub API 或 Amazon CLI。

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成（Security Hub API, Amazon CLI）的调查发现流。