View a markdown version of this page

接收来自 Explorer 中的 Amazon Security Hub CSPM 的调查结果 - Amazon Systems Manager
Explorer 接收的结果的类型启用集成如何查看来自 Security Hub CSPM 的调查发现如何停止接收结果
Amazon Web Services 文档中描述的 Amazon Web Services 服务或功能可能因区域而异。要查看适用于中国区域的差异，请参阅 中国的 Amazon Web Services 服务入门 (PDF)。

接收来自 Explorer 中的 Amazon Security Hub CSPM 的调查结果

Amazon Security Hub CSPM 向您提供在 Amazon 中安全状态的全面视图。该服务从跨 Amazon Web Services 账户、服务和支持的第三方产品收集安全数据，称为调查发现。Security Hub CSPM 调查发现可帮助您检查您的环境是否符合安全行业标准和最佳实践、分析安全趋势并确定优先级最高的安全问题。

Security Hub CSPM 会将调查发现发送到 Amazon EventBridge，后者使用事件规则将这些调查发现发送到 Explorer。启用集成后（如此处所述），您可以在 Explorer 小部件中查看 Security Hub CSPM 调查发现，并在 OpsCenter OpsItems 中查看调查发现的详细信息。根据严重性，小部件提供所有 Security Hub CSPM 调查发现的摘要。Security Hub CSPM 中的新调查发现通常在创建后几秒钟内即可在 Explorer 中看见。

警告

请注意以下重要信息：

  • Explorer 已与 集成。OpsCenter启用与 Security Hub CSPM 的 Explorer 集成后，OpsCenter 会自动为 Security Hub CSPM 调查发现创建 OpsItems。根据您的 Amazon 环境，启用集成可能会导致大量的 OpsItems，并收取一定费用。

    在继续操作之前，请阅读有关与 Security Hub CSPM OpsCenter 集成的信息。该主题包含有关如何更改和更新调查发现，以及如何从您的账户中收取 OpsItems 费用的特定详细信息。有关更多信息，请参阅 了解 OpsCenter 与 Amazon Security Hub CSPM 的集成。有关 OpsCenter 定价信息，请参阅 Amazon Systems Manager 定价。

  • 如果您在登录管理员账户时在 Explorer 中创建资源数据同步，则会自动为管理员和同步中的所有成员账户启用 Security Hub CSPM 集成。启用后，OpsCenter 会自动为 Security Hub CSPM 调查发现创建 OpsItems，并收取一定费用。有关创建资源数据同步的更多信息，请参阅 设置 Systems Manager Explorer 以显示来自多个账户和区域的数据。

Explorer 接收的结果的类型

Explorer 从 Security Hub CSPM 接收所有调查发现。当您打开 Security Hub CSPM 默认设置时，可在 Explorer 小部件中查看基于严重性的所有调查发现。默认情况下，Explorer 会针对重大严重性调查发现创建 OpsItems。您可以手动配置 Explorer，以针对其他严重性级别（高、中和低）的调查发现创建 OpsItems。

尽管 Explorer 不会针对信息性调查发现创建 OpsItems，但您可以在 Security Hub CSPM 调查发现摘要小部件中查看信息操作数据（OpsData）。无论严重程度如何，Explorer 都会为所有调查发现创建 OpsData。有关 Security Hub CSPM 严重性级别的更多信息，请参阅《Amazon Security Hub API Reference》中的 Severity。

启用集成

本部分介绍如何启用和配置 Explorer 开始接收 Security Hub CSPM 调查发现。

开始前的准备工作

请完成以下任务，然后才能配置 Explorer 开始接收 Security Hub CSPM 调查发现。

  • 启用和配置 Security Hub CSPM。有关更多信息，请参阅《Amazon Security Hub 用户指南》中的设置 Security Hub CSPM。

  • 登录到 Amazon Organizations 管理账户。Systems Manager 需要对 Amazon Organizations 的访问权限，才能从 Security Hub CSPM 调查发现创建 OpsItems。登录管理账户后，您可以按照以下流程，从 Explorer 配置控制面板选项卡启用此访问权限。如果未显示启用访问权限按钮，则表示已启用可信访问。如果您没有登录到 Amazon Organizations 管理账户，则不能允许访问，并且 Explorer 无法从 Security Hub CSPM 调查发现创建 OpsItems。

注意

如果您的账户不属于 Amazon Organizations 中的组织，则无需启用 OpsData Sync 可信访问。本节所述的管理账户要求不适用。在想要接收调查发现的每个 Amazon Web Services 区域中启用 Amazon Security Hub CSPM，然后在 Explorer 配置控制面板选项卡上，打开通过 Security Hub CSPM 调查发现创建的 OpsItems 切换开关。

开始接收 Security Hub CSPM 调查发现

  1. （管理账户）在想要接收调查发现的每个 Amazon Web Services 区域中启用 Amazon Security Hub CSPM。有关更多信息，请参阅《Amazon Security Hub 用户指南》中的设置 Security Hub CSPM。

  2. （管理账户）为 Amazon Organizations 启用 OpsData Sync 可信访问。必须先启用可信访问，才能在步骤 3 中打开管理账户自己的 OpsData 源。对于成员账户和委派管理员账户，步骤 4 和步骤 5 不依赖于可信访问。请选择以下选项之一：

    • 在 Explorer 的配置控制面板选项卡中，在通过 Security Hub CSPM 调查发现创建的 OpsItems 部分下，选择启用访问权限按钮。

    • 使用 Amazon CLI 运行以下命令。

      aws organizations enable-aws-service-access --service-principal opsdatasync.ssm.amazonaws.com
    注意

    如果您已登录管理账户，但未显示启用访问权限按钮，则表示已启用可信访问。要确认这一点，请运行以下命令。

    aws organizations list-aws-service-access-for-organization
    注意

    启用访问权限提示也会显示在创建资源数据同步向导中，这是管理账户的常用入口点。

  3. （管理账户，可选）只有您还希望从管理账户本身获取调查发现时，才需完成此步骤。开启通过 Security Hub CSPM 调查发现创建的 OpsItems 开关切换。默认情况下，Explorer 会针对重大严重性调查发现创建 OpsItems，您也可以将其配置为针对其他严重性级别创建 OpsItems。

  4. （每个成员账户或委派管理员账户）在相关的 Amazon Security Hub CSPM 中启用 Amazon Web Services 区域。

  5. （每个成员账户或委派管理员账户）开启通过 Security Hub CSPM 调查发现创建的 OpsItems 切换开关。这些账户可以随时完成此步骤，无需依赖步骤 2。如果您在 Explorer 中从管理账户创建了组织范围的资源数据同步（即来源为整个组织或特定组织单元的同步），系统会自动为此同步中的所有成员账户启用此 OpsData 源。

如何查看来自 Security Hub CSPM 的调查发现

以下程序介绍了如何查看 Security Hub CSPM 调查发现。

查看 Security Hub CSPM 调查发现

  1. 访问 https://console.aws.amazon.com/systems-manager/，打开 Amazon Systems Manager 控制台。

  2. 在导航窗格中，请选择 Explorer。

  3. 查找 Amazon Security Hub CSPM 结果摘要小组件。这将显示 Security Hub CSPM 调查发现。您可以选择严重性级别，以查看相应 OpsItem 的详细描述。

如何停止接收结果

以下程序介绍了如何停止接收 Security Hub CSPM 调查发现。

停止接收 Security Hub CSPM 调查发现

  1. 访问 https://console.aws.amazon.com/systems-manager/，打开 Amazon Systems Manager 控制台。

  2. 在导航窗格中，请选择 Explorer。

  3. 选择设置。

  4. 选择 Configure dashboard (配置控制面板) 选项卡。

  5. 选择 Enabled (已启用) 滑块以关闭 Amazon Security Hub CSPM。

重要

如果控制台中禁用 Security Hub CSPM 调查发现的选项显示为灰色，则可以通过在 Amazon CLI 中运行以下命令来禁用此设置。您必须在登录 Amazon Organizations 管理账户或 Systems Manager 委派管理员账户时运行该命令。对于 region 参数，请指定您要停止在 Explorer 中接收 Security Hub CSPM 调查发现的 Amazon Web Services 区域。


aws ssm update-service-setting --setting-id /ssm/opsdata/SecurityHub --setting-value Disabled --region Amazon Web Services 区域

以下为示例。


aws ssm update-service-setting --setting-id /ssm/opsdata/SecurityHub --setting-value Disabled --region us-east-1