Amazon Web Services 服务 与 Security Hub 的集成

Security Hub 中的所有发现都使用标准JSON格式ASFF。ASFF包括有关发现的来源、受影响的资源以及发现的当前状态的详细信息。 Amazon Config 通过向 Security Hub 发送托管和自定义规则评估 EventBridge。Security Hub 将规则评估转化为遵循的结果，ASFF并尽最大努力丰富调查结果。

Amazon Config 发送到 Security Hub 的发现类型

激活集成后， Amazon Config 将所有 Amazon Config 托管规则和自定义规则的评估发送到 Security Hub。仅发送在启用 Security Hub 后执行的评估。例如，假设 Amazon Config 规则评估显示五个失败的资源。如果之后我启用 Security Hub，然后规则显示第六个失败的资源，则只 Amazon Config 会向 Security Hub 发送第六次资源评估。

不包括来自服务相关 Amazon Config 规则的评估，例如用于对 Security Hub 控件进行检查的评估。

将 Amazon Config 调查结果发送到 Security Hub

激活集成后，Security Hub 将自动分配从中接收调查结果所需的权限 Amazon Config。Security Hub 使用 service-to-service级别权限，为您提供一种安全的方式来激活此集成并 Amazon Config 通过亚马逊导入调查结果 EventBridge。

发送调查发现的延迟

Amazon Config 创建新发现时，您通常可以在五分钟内在 Security Hub 中查看该发现。

Security Hub 不可用时重试

Amazon Config 尽最大努力将调查结果发送到 Security Hub。 EventBridge如果事件未成功传送到 Security Hub， EventBridge则会重试投递最多 24 小时或 185 次，以先到者为准。

更新 Security Hub 中的现有 Amazon Config 发现

将调查结果 Amazon Config 发送到 Security Hub 后，它可以向 Security Hub 发送同一发现的更新，以反映对发现活动的其他观察结果。仅针对 ComplianceChangeNotification 事件发送更新。如果没有发生合规性变化，则不会向 Security Hub 发送更新。Security Hub 会在最近一次更新后的 90 天或（如果没有更新）创建后的 90 天删除结果。

Amazon Config 即使您删除了关联的资源，Security Hub 也不会存档从中发送的结果。

存在 Amazon Config 调查结果的地区

Amazon Config 调查结果以区域为基础出现。 Amazon Config 将发现结果发送到发现结果所在的一个或多个区域的 Security Hub。

要查看您的 Amazon Config 发现，请从 Security Hub 导航窗格中选择调查结果。要筛选搜索结果以仅显示搜索 Amazon Config 结果，请在搜索栏下拉列表中选择产品名称。输入Config，然后选择应用。

解释在 Security Hub 中 Amazon Config 查找的名字

Security Hub 将 Amazon Config 规则评估转化为遵循以下内容的Amazon 安全调查结果格式 (ASFF)结果。 Amazon Config 与相比，规则评估使用的事件模式不同ASFF。下表将 Amazon Config 规则评估字段与它们在 Security Hub 中显示的ASFF对应字段进行映射。

解释严重性标签

Amazon Config 规则评估的所有发现的默认严重性标签MEDIUM均为ASFF。您可以通过BatchUpdateFindingsAPI操作更新调查结果的严重性标签。

来自的典型发现 Amazon Config

Security Hub 将 Amazon Config 规则评估转化为遵循以下内容的ASFF结果。以下是中典型发现 Amazon Config 的示例ASFF。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

启用 Security Hub 后，此集成将自动激活。 Amazon Config 立即开始向 Security Hub 发送调查结果。

要停止向 Security Hub 发送调查结果，你可以使用 Security Hub 控制台或 Security Hub API。

有关停止调查结果流的说明，请参阅支持整合结果的流动。

在 Security Hub 中，安全问题按调查结果进行跟踪。一些发现来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub 还有一套用于检测安全问题和生成结果的规则。

Security Hub 提供了管理来自所有这些来源的结果的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅 在 Security Hub 中查看查找详情和查找历史记录。您还可以跟踪调查发现的调查状态。请参阅 设置 Security Hub 发现的工作流程状态。

Security Hub 中的所有发现都使用一种名为 “” 的标准JSON格式Amazon 安全调查结果格式 (ASFF)。ASFF包括有关问题来源、受影响的资源以及发现结果的当前状态的详细信息。

Amazon Health 是将发现结果发送到 Security Hub 的 Amazon 服务之一。

Amazon Health 发送到 Security Hub 的发现类型

启用集成后， Amazon Health 将符合列出的一项或多项规范的发现结果发送到 Security Hub。Security Hub 在中提取了调查结果。Amazon 安全调查结果格式 (ASFF)

将 Amazon Health 调查结果发送到 Security Hub

当您选择接受来自的调查结果时 Amazon Health，Security Hub 将自动分配从中接收调查结果所需的权限 Amazon Health。Security Hub 使用 service-to-service级别权限，为您提供一种安全、简便的方法来启用此集成并 EventBridge 代表您 Amazon Health 通过亚马逊导入调查结果。选择 “接受调查结果” 会授予 Security Hub 使用其中的查找结果的权限 Amazon Health。

发送调查发现的延迟

Amazon Health 创建新发现时，通常会在五分钟内将其发送到 Security Hub。

Security Hub 不可用时重试

Amazon Health 尽最大努力将调查结果发送到 Security Hub。 EventBridge如果事件未成功传送到 Security Hub， EventBridge则会在 24 小时内重试发送该事件。

更新 Security Hub 中的现有 结果

将调查结果 Amazon Health 发送到 Security Hub 后，它可以将同一发现的更新发送给 Security Hub，以反映对发现活动的其他观察结果。

存在调查发现的区域

对于全局事件，以 us-east-1（分区）、cn-northwest-1（中国分区）和 -1 Amazon （分区） Amazon Health 将发现结果发送到 Security Hub。 gov-us-west GovCloud Amazon Health 将特定于区域的事件发送到事件发生地相同的一个或多个区域的 Security Hub。

要在 Security Hub 中查看您的 Amazon Health 发现，请从导航面板中选择调查结果。要筛选结果以仅显示搜索 Amazon Health 结果，请从 “产品名称” 字段中选择 “Heal th”。

解释在 Security Hub 中 Amazon Health 查找的名字

Amazon Health 使用将发现结果发送到 Security Hub Amazon 安全调查结果格式 (ASFF)。 Amazon Health 与 Security Hub ASFF 格式相比，finding 使用了不同的事件模式。下表详细列出了所有 Amazon Health 查找字段及其在 Security Hub 中显示的ASFF对应字段。

解释严重性标签

ASFF调查结果中的严重性标签是使用以下逻辑确定的：

来自的典型发现 Amazon Health

Amazon Health 使用将发现结果发送到 Security Hub Amazon 安全调查结果格式 (ASFF)。以下是来自的典型发现的示例 Amazon Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

启用 Security Hub 后，此集成将自动激活。 Amazon Health 立即开始向 Security Hub 发送调查结果。

要停止向 Security Hub 发送调查结果，你可以使用 Security Hub 控制台或 Security Hub API。

有关停止调查结果流的说明，请参阅支持整合结果的流动。