Amazon Web Service 与 Sec Amazon urity Hub 的集成

Security Hub 中的所有调查发现都使用 ASFF 的标准 JSON 格式。ASFF 包括有关发现的来源、受影响的资源以及发现的当前状态的详细信息。 Amazon Config 通过向 Security Hub 发送托管和自定义规则评估 EventBridge。Security Hub 将规则评估转化为遵循 ASFF 的调查发现，并尽最大努力丰富调查发现。

Amazon Config 发送到 Security Hub 的发现类型

激活集成后， Amazon Config 会向 Security Hub 发送所有 Amazon Config 托管规则和自定义规则的评估结果。仅排除来自服务相关 Amazon Config 规则的评估，例如用于对安全控制进行检查的评估。

将 Amazon Config 调查结果发送到 Security Hub

激活集成后，Security Hub 将自动分配从中接收调查结果所需的权限 Amazon Config。Security Hub 使用 service-to-service 级别权限，为您提供一种安全的方式来激活此集成并 Amazon Config 通过亚马逊导入调查结果 EventBridge。

发送调查发现的延迟

Amazon Config 创建新发现时，您通常可以在五分钟内在 Security Hub 中查看该发现。

Security Hub 不可用时重试

Amazon Config 尽最大努力将调查结果发送到 Security Hub。 EventBridge如果事件未成功传送到 Security Hub， EventBridge则会重试投递最多 24 小时或 185 次，以先到者为准。

更新 Security Hub 中的现有 Amazon Config 发现

将调查结果 Amazon Config 发送到 Security Hub 后，它可以向 Security Hub 发送同一发现的更新，以反映对发现活动的其他观察结果。仅针对 ComplianceChangeNotification 事件发送更新。如果没有发生合规性变化，则不会向 Security Hub 发送更新。Security Hub 会在最近一次更新后的 90 天或（如果没有更新）创建后的 90 天删除结果。

Amazon Config 即使您删除了关联的资源，Security Hub 也不会存档从中发送的结果。

存在 Amazon Config 调查结果的地区

Amazon Config 调查结果以区域为基础出现。 Amazon Config 将发现结果发送到发现结果所在的一个或多个区域的 Security Hub。

要查看您的 Amazon Config 发现，请从 Security Hub 导航窗格中选择调查结果。要筛选搜索结果以仅显示搜索 Amazon Config 结果，请在搜索栏下拉列表中选择产品名称。输入Config，然后选择应用。

解释在 Security Hub 中 Amazon Config 查找的名字

Security Hub 将 Amazon Config 规则评估转化为遵循的Amazon 安全调查结果格式 (ASFF)结果。 Amazon Config 与 ASFF 相比，规则评估使用不同的事件模式。下表将 Amazon Config 规则评估字段映射到它们在 Security Hub 中显示的 ASFF 对应字段。

解释严重性标签

Amazon Config 规则评估的所有发现在 ASFF 中都有一个默认的严重性标签为 MEDIUM。您可以通过 BatchUpdateFindings API 操作更新调查发现的严重性标签。

来自的典型发现 Amazon Config

Security Hub 将 Amazon Config 规则评估转化为遵循 ASFF 的调查结果。以下是ASFF中典型发现 Amazon Config 的示例。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::config-integration-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

启用 Security Hub 后，此集成将自动激活。 Amazon Config 立即开始向 Security Hub 发送调查结果。

要停止向 Security Hub 发送调查发现,可以使用 Security Hub 控制台、Security Hub API 或 Amazon CLI。

请参阅 禁用和启用来自集成的结果流（控制台） 或 禁用集成的结果流（Security Hub API， Amazon CLI）。

在 Security Hub 中，安全问题按调查结果进行跟踪。一些发现来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub 还有一套用于检测安全问题和生成结果的规则。

Security Hub 提供了管理来自所有这些来源的结果的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅 管理和查看查找结果的详细信息和历史记录。您还可以跟踪调查发现的调查状态。请参阅 对调查结果采取行动 Amazon Security Hub。

Security Hub 中的所有结果都使用标准的 JSON 格式，称为 Amazon 安全调查结果格式 (ASFF)。ASFF 包括有关问题根源、受影响资源以及调查发现当前状态的详细信息。

Amazon Health 是将发现结果发送到 Security Hub 的 Amazon 服务之一。

Amazon Health 发送到 Security Hub 的发现类型

启用集成后， Amazon Health 会将其生成的所有与安全相关的结果发送到 Security Hub。使用 Amazon 安全调查结果格式 (ASFF) 将调查发现发送到 Security Hub。与安全相关的调查发现定义如下：

将 Amazon Health 调查结果发送到 Security Hub

当您选择接受来自的调查结果时 Amazon Health，Security Hub 将自动分配从中接收调查结果所需的权限 Amazon Health。Security Hub 使用 service-to-service 级别权限，为您提供一种安全、简便的方法来启用此集成并 EventBridge 代表您 Amazon Health 通过亚马逊导入调查结果。选择 “接受调查结果” 会授予 Security Hub 使用其中的查找结果的权限 Amazon Health。

发送调查发现的延迟

Amazon Health 创建新发现时，通常会在五分钟内将其发送到 Security Hub。

Security Hub 不可用时重试

Amazon Health 尽最大努力将调查结果发送到 Security Hub。 EventBridge如果事件未成功传送到 Security Hub， EventBridge则会在 24 小时内重试发送该事件。

更新 Security Hub 中的现有 结果

将调查结果 Amazon Health 发送到 Security Hub 后，它可以将同一发现的更新发送给 Security Hub，以反映对发现活动的其他观察结果。

存在调查发现的区域

对于全局事件，以 us-east-1（分区）、cn-northwest-1（中国分区）和 -1 Amazon （分区） Amazon Health 将发现结果发送到 Security Hub。 gov-us-west GovCloud Amazon Health 将特定于区域的事件发送到事件发生地相同的一个或多个区域的 Security Hub。

要在 Security Hub 中查看您的 Amazon Health 发现，请从导航面板中选择调查结果。要筛选结果以仅显示搜索 Amazon Health 结果，请从 “产品名称” 字段中选择 “Heal th”。

解释在 Security Hub 中 Amazon Health 查找的名字

Amazon Health 使用将发现结果发送到 Security Hub Amazon 安全调查结果格式 (ASFF)。 Amazon Health 与 Security Hub ASFF 格式相比，查找使用了不同的事件模式。下表详细列出了所有 Amazon Health 查找字段及其在 Security Hub 中显示的 ASFF 对应字段。

解释严重性标签

ASFF 调查发现中的严重性标签是使用以下逻辑确定的：

来自的典型发现 Amazon Health

Amazon Health 使用将发现结果发送到 Security Hub Amazon 安全调查结果格式 (ASFF)。以下是来自的典型发现的示例 Amazon Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

启用 Security Hub 后，此集成将自动激活。 Amazon Health 立即开始向 Security Hub 发送调查结果。

要停止向 Security Hub 发送调查结果，你可以使用 Security Hub 控制台、Security Hub API 或 Amazon CLI。

请参阅 禁用和启用来自集成的结果流（控制台） 或 禁用集成的结果流（Security Hub API， Amazon CLI）。