Amazon Web Services 服务与 Security Hub CSPM 集成

Security Hub CSPM 中的所有调查发现都使用 ASFF 的标准 JSON 格式。ASFF 包括有关调查发现来源、受影响资源以及调查发现当前状态的详细信息。Amazon Config 通过 EventBridge 将托管规则和自定义规则评估结果发送到 Security Hub CSPM。Security Hub CSPM 将规则评估转化为遵循 ASFF 的调查发现，并尽最大努力丰富调查发现。

Amazon Config 发送到 Security Hub CSPM 的调查发现类型

集成激活后，Amazon Config 会向 Security Hub CSPM 发送所有 Amazon Config 托管规则和自定义规则的评估。仅会发送启用 Security Hub CSPM 后执行的评估。例如，假设 Amazon Config 规则评估显示五个失败的资源。如果在该评估之后启用 Security Hub CSPM，并且该规则随后显示第六个失败的资源，则 Amazon Config 仅会向 Security Hub CSPM 发送第六个资源评估。

来自服务相关 Amazon Config 规则的评估（例如用于对 Security Hub CSPM 控件运行检查的评估）会被排除。但由 Amazon Control Tower 在 Amazon Config 中创建和管理的服务相关规则生成的调查发现除外。包括这些规则的调查发现有助于确保您的调查发现数据包括由 Amazon Control Tower 执行的主动检查的结果。

向 Security Hub CSPM 发送 Amazon Config 调查发现

激活集成后，Security Hub CSPM 将自动分配从 Amazon Config 中接收调查发现所需的权限。Security Hub CSPM 使用服务到服务级别的权限，为您提供一种安全的方式来激活此集成并通过 Amazon EventBridge 从 Amazon Config 中导入调查发现。

发送调查发现的延迟

Amazon Config 创建新调查发现时，您通常可以在五分钟内在 Security Hub CSPM 中查看该调查发现。

Security Hub CSPM 不可用时重试

Amazon Config 尽最大努力通过 EventBridge 将调查发现发送到 Security Hub CSPM。当事件未成功传送到 Security Hub CSPM 时，EventBridge 会重试投递最多 24 小时或 185 次，以先到者为准。

更新 Security Hub CSPM 中的现有 Amazon Config 调查发现

Amazon Config 将调查发现发送到 Security Hub CSPM 后，可以向 Security Hub CSPM 发送同一调查发现的更新，以反映对调查发现活动的其他观测结果。仅针对 ComplianceChangeNotification 事件发送更新。如果没有发生合规性变化，则不会向 Security Hub CSPM 发送更新。Security Hub CSPM 会在最近一次更新后的 90 天或（如果没有更新）创建后的 90 天删除结果。

即使您删除了关联的资源，Security Hub CSPM 也不会归档从 Amazon Config 中发送的调查发现。

存在 Amazon Config 调查发现的区域

Amazon Config 调查发现以区域为基础出现。Amazon Config 将调查发现发送到调查发现所在的一个或多个区域的 Security Hub CSPM。

要查看您的 Amazon Config 调查发现，请从 Security Hub CSPM 导航窗格中选择调查发现。要筛选调查发现以仅显示 Amazon Config 调查发现，请在搜索栏下拉列表中选择产品名称。输入Config，然后选择应用。

解释 Security Hub CSPM 中的 Amazon Config 调查发现名称

Security Hub CSPM 将 Amazon Config 规则评估转化为遵循 Amazon安全调查发现格式 (ASFF) 的调查发现。与 ASFF 相比，Amazon Config 规则评估使用了不同的事件模式。下表将 Amazon Config 规则评估字段与 Security Hub CSPM 中出现的 ASFF 对应字段进行了映射。

解释严重性标签

Amazon Config 规则评估的所有调查发现在 ASFF 中都有一个默认的严重性标签为中等。您可以通过 BatchUpdateFindings API 操作更新调查发现的严重性标签。

来自 Amazon Config 的典型结果

Security Hub CSPM 将 Amazon Config 规则评估转换为遵循 ASFF 的调查发现。下面是 ASFF 中 Amazon Config 的典型调查发现的示例。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

启用 Security Hub CSPM 后，此集成将自动激活。Amazon Config 立即开始将调查发现发送到 Security Hub CSPM。

要停止向 Security Hub CSPM 发送调查发现，您可以使用 Security Hub CSPM 控制台或 Security Hub CSPM API。

有关停止调查发现流的说明，请参阅启用来自 Security Hub CSPM 集成的调查发现流。

在 Security Hub CSPM 中，安全问题按调查发现进行跟踪。一些调查发现来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub CSPM 还有一套用于检测安全问题和生成调查发现的规则。

Security Hub CSPM 提供了用于管理来自所有这些来源的调查发现的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅在 Security Hub CSPM 中查看调查发现详细信息和历史记录。您还可以跟踪调查发现的调查状态。请参阅在 Security Hub CSPM 中设置调查发现的工作流状态。

Security Hub CSPM 中的所有调查发现都使用标准的 JSON 格式（称为 Amazon安全调查发现格式 (ASFF)）。ASFF 包括有关问题根源、受影响资源以及调查发现当前状态的详细信息。

Amazon Health 是一项 Amazon 服务，可将调查发现发送到 Security Hub CSPM。

Amazon Health 发送到 Security Hub CSPM 的调查发现类型

启用集成后，Amazon Health 会向 Security Hub CSPM 发送符合列出的一项或多项规范的调查发现。Security Hub CSPM 会以 Amazon安全调查发现格式 (ASFF) 提取调查发现。

向 Security Hub CSPM 发送 Amazon Health 调查发现

当您选择接受来自 Amazon Health 的调查发现时，Security Hub CSPM 将自动分配从 Amazon Health 中接收调查发现所需的权限。Security Hub CSPM 使用服务到服务的权限级别，为您提供了一种安全、轻松的方式来启用此集成并通过 Amazon EventBridge 代表您从 Amazon Health 导入结果。选择接受调查发现会授予 Security Hub CSPM 使用 Amazon Health 中的调查发现的权限。

发送调查发现的延迟

Amazon Health 创建新调查发现时，通常会在 5 分钟内将调查发现发送到 Security Hub CSPM。

Security Hub CSPM 不可用时重试

Amazon Health 尽最大努力通过 EventBridge 将调查发现发送到 Security Hub CSPM。当事件未成功传送到 Security Hub CSPM 时，EventBridge 会在 24 小时内重试发送该事件。

更新 Security Hub CSPM 中的现有调查发现

Amazon Health 向 Security Hub CSPM 发送调查发现后，可以向 Security Hub CSPM 发送同一调查发现的更新，以反映对调查发现活动的其他观测结果。

存在调查发现的区域

对于全球事件，Amazon Health 将调查发现发送到 us-east-1（Amazon 分区）、cn-northwest-1（中国分区）和 gov-us-west-1（GovCloud 分区）的 Security Hub CSPM。Amazon Health 将特定于区域的事件发送到事件发生地相同的一个或多个区域的 Security Hub CSPM。

要在 Security Hub CSPM 中查看您的 Amazon Health 调查发现，请从导航面板中选择调查发现。要筛选结果以仅显示 Amazon Health 结果，请从产品名称字段中选择健康。

解释 Security Hub CSPM 中的 Amazon Health 调查发现名称

Amazon Health 使用 Amazon安全调查发现格式 (ASFF) 将调查发现发送到 Security Hub CSPM。与 Security Hub CSPM ASFF 格式相比，Amazon Health 调查发现使用了不同的事件模式。下表详细列出了所有 Amazon Health 调查发现字段，以及其在 Security Hub CSPM 中出现的 ASFF 对应类型。

解释严重性标签

ASFF 调查发现中的严重性标签是使用以下逻辑确定的：

来自 Amazon Health 的典型结果

Amazon Health 使用 Amazon安全调查发现格式 (ASFF) 将调查发现发送到 Security Hub CSPM。下面是 Amazon Health 典型调查发现的示例。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

启用 Security Hub CSPM 后，此集成将自动激活。Amazon Health 立即开始将调查发现发送到 Security Hub CSPM。

要停止向 Security Hub CSPM 发送调查发现，您可以使用 Security Hub CSPM 控制台或 Security Hub CSPM API。

有关停止调查发现流的说明，请参阅启用来自 Security Hub CSPM 集成的调查发现流。