可用的 Amazon 服务集成

Security Hub 中的所有结果都使用标准的 JSON 格式。ASFF 包括有关结果起源、受影响资源以及结果当前状态的详细信息。 Amazon Config通过将托管和自定义规则评估发送到 Security Hub EventBridge。Security Hub 将规则评估转换为遵循 ASFF 的结果，并在尽最大努力的基础上丰富调查结果。

Amazon Config发送到 Security Hub 的结果类型

激活集成后，Amazon Config将所有Amazon Config托管规则和自定义规则的评估发送到 Security Hub。仅排除来自服务相关Amazon Config规则的评估，例如用于对安全控制进行检查的评估。

向 Security Hub 发送Amazon Config结果

激活集成后，Security Hub 将自动分配从中接收调查结果所需的权限Amazon Config。Security Hub 使用 service-to-service 级别权限，为您提供安全的方式来激活此集成并Amazon Config通过亚马逊导入调查结果 EventBridge。

发送结果的延迟

Amazon Config创建新查找结果时，您通常可以在五分钟内在 Security Hub 中查看该查找结果。

Security Hub 不可用时重试

Amazon Config尽最大努力将结果发送到 Security Hub EventBridge。如果事件未成功传送到 Security Hub，则 EventBridge重试投递最多 24 小时或 185 次，以先到者为准。

更新 Security Hub 中的现有Amazon Config结果

将结果Amazon Config发送到 Security Hub 之后，它可以将对同一结果发送到 Security Hub 中，以反映对查找活动的其他观测结果到 Security Hub 中。

存在Amazon Config调查结果的地区

Amazon Config调查结果是以区域为基础的。 Amazon Config将发现结果发送到发现结果所在区域或区域的 Security Hub。

要查看您的Amazon Config发现，请从 Security Hub 导航窗格中选择调查结果。要筛选搜索结果以仅显示搜索Amazon Config结果，请在搜索栏下拉列表中选择 “产品名称”。输入 Config，然后选择应用。

解释 SAmazon Config ecurity Hub 中的名称

Security Hub 将Amazon Config规则评估转换为后续结果Amazon Security Finding 格式 (ASFF)。 Amazon Config与 ASFF 相比，规则评估使用不同的事件模式。下表将Amazon Config规则评估字段与 Security Hub 中显示的 ASFF 对应字段映射到 Security Hub 中。

解析严重性标签

在 ASFF 中，所有Amazon Config规则评估结果的默认严重性标签均为 M EDIUM。您可以使用 BatchUpdateFindingsAPI 操作更新调查结果的严重性标签。

来自 Amazon Config 的典型结果

Security Hub 将Amazon Config规则评估转换为 ASFF 之后的调查结果。以下是 ASFF 典型结果Amazon Config的示例。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::config-integration-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

要使用与 Security Hub 的集Amazon Config成，必须设置这两项服务，并在中添加至少一个托管或自定义规则Amazon Config。有关如何设置的信息Amazon Config，请参阅Amazon Config开发者指南中的入门。有关如何设置 Security Hub 的信息，请参阅设置AmazonSecurity Hub。

设置Amazon Config和 Security Hub 之后，集成将自动激活。 Amazon Config立即开始将结果发送到 Security Hub。

要停止向 Security Hub 发送结果，您可以使用 Security Hub 控制台、Security Hub API 或Amazon CLI.

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成的结果流（Security Hub API，Amazon CLI）。

在 Security Hub 中，安全问题按结果进行跟踪。一些发现结果来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub 还有一套用于检测安全问题和生成结果的规则。

Security Hub 提供了管理来自所有这些来源的结果的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅 在中查看查找结果列表和详细信息Amazon Security Hub。您还可以跟踪结果的调查状态。请参阅 对结果采取措施Amazon Security Hub。

Security Hub 中的所有结果都使用标准的 JSON 格式，称为Amazon Security Finding 格式 (ASFF)。ASFF 包括有关问题根源、受影响资源以及结果当前状态的详细信息。

Amazon Health是将结果发送到Amazon Security Hub。

Amazon Health发送到 Security Hub 的结果类型

启用集成后，将其生成的所有与安全相关的发现Amazon Health发送到 Security Hub。使用将发现结果发送到Security HubAmazon Security Finding 格式 (ASFF)。与安全相关的发现定义如下：

向 Security Hub 发送Amazon Health结果

当您选择接受来自的发现时Amazon Health，Security Hub 将自动分配从中接收调查结果所需的权限Amazon Health。Security Hub 使用 service-to-service 级别权限为您提供安全、简便的方法来启用此集成并 EventBridge 代表您Amazon Health通过亚马逊导入调查结果。选择 “接受调查结果” 会授予 Security Hub 使用来自的结果的权限Amazon Health。

发送结果的延迟

Amazon Health创建新结果时，通常会在五分钟内将结果发送到 Security Hub。

Security Hub 不可用时重试

Amazon Health尽最大努力将结果发送到 Security Hub EventBridge。当事件未成功传送到 Security Hub 时，会在 24 小时内 EventBridge重试发送该事件。

更新 Security Hub 中的现有结果

将结果Amazon Health发送到 Security Hub 之后，它可以发送反映对查找活动的其他观测结果到 Security Hub 中。

存在调查结果的地区

对于全球事件，Amazon Health将调查结果发送到 us-east-1（Amazon分区）、cn-northwest-1（中国分区）和 gov-us-west -1（分区）中的Security Hub。GovCloud Amazon Health将特定区域的事件发送到事件发生地相同的一个或多个区域中的 Security Hub。

要在 Security Hub 中查看您的Amazon Health发现，请从导航面板中选择查找结果。要筛选发现结果以仅显示调查Amazon Health结果，请从 “产品名称” 字段中选择 “Heal th”。

解释 SAmazon Health ecurity Hub 中的名称

Amazon Health使用 Security Hub 发送结果Amazon Security Finding 格式 (ASFF)。 Amazon Health与 Security Hub ASFF 格式相比，查找使用了不同的事件模式。下表详细列出了所有Amazon Health查找字段及其在 Security Hub 中出现的 ASFF 对应字段。

解析严重性标签

ASFF 调查结果中的严重性标签是使用以下逻辑确定的：

来自 Amazon Health 的典型结果

Amazon Health使用结果发送到 Security HubAmazon Security Finding 格式 (ASFF)。以下是典型结果的示例Amazon Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

设置 Security Hub 时，会自动激活与Amazon Health Security Hub 的集成。 Amazon Health立即开始将结果发送到 Security Hub。

要停止向 Security Hub 发送结果，您可以使用 Security Hub 控制台、Security Hub API 或Amazon CLI。

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成的结果流（Security Hub API，Amazon CLI）。