了解怎么做 AWS Audit Manager 收集证据 - AWS Audit Manager
证据收集频率

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

了解怎么做 AWS Audit Manager 收集证据

每项活跃的评估都在 AWS Audit Manager 自动从一系列数据源收集证据。在每项评估中，您可以定义哪个 AWS 账户 Audit Manager 将收集证据，审计经理负责管理哪些证据 AWS 服务 在范围内。这些服务和账户中的每一个都包含您拥有和使用的多种资源。Audit Manager 中的证据收集涉及对每个范围内资源评测。这被称为资源评测。

以下步骤描述了 Audit Manager 收集每次资源评测方法的证据：

1. 评测来自数据来源的资源

为了开始收集证据，Audit Manager 会评测来自数据来源范围内的资源。它通过捕获配置快照、相关的合规性检查结果或用户活动来实现此目的。然后，它会运行分析以确定该数据支持的控件类型。然后，资源评测结果将被保存并转化为证据。有关不同证据类型的更多信息，请参阅evidence中的 AWS Audit Manager 本指南的概念和术语部分。

2. 将评测结果转化为证据

资源评估的结果既包含从该资源中捕获的原始数据，也包含表明数据支持哪种控制的元数据。Audit Manager 将原始数据转换为便于审计员使用的格式。然后，转换后的数据和元数据将保存为 Audit Manager 证据，然后再附加至控件。

3. 将证据随附至关联控件

Audit Manager 读取证据元数据。然后，它将已保存的证据附加至评测中的相关对照中。随附证据将在 Audit Manager 中可见。资源评测周期完成。

注意

根据控件配置，在某些情况下，可以将相同的证据附加制来自多个 Audit Manager 评测的多个控件中。当多个控件附带相同证据时，Audit Manager 会精确计量一次资源评测。原因是同样的证据仅收集一次。但是，Audit Manager 评测中的控件可以包含来自多个数据来源的多个证据。

证据收集频率

证据收集是一个持续的过程，从您创建评测时开始。Audit Manager 以不同的频率从多个数据源收集证据。因此，关于收集证据的频率尚无 one-size-fits-all 答案。证据收集频率取决于证据类型及其数据来源，如下所述。

  • 合规性检查 — Audit Manager 从以下来源收集此类证据 AWS Security Hub 以及 AWS Config.

  • 用户活动 — Audit Manager 从以下来源收集此类证据 AWS CloudTrail 以持续的方式。这种频率是持续的，原因是用户活动可以在一天中的任何时间发生。有关更多信息，请参阅 AWS CloudTrail 支持的事件名称 AWS Audit Manager。

  • 配置数据 — Audit Manager 使用对另一个人的描述API调用来收集这种证据类型 AWS 服务 例如亚马逊EC2、亚马逊 S3 或IAM。您可以选择要调用的API操作。您还可以在 Audit Manager 中将频率设置为每天、每周或者每月。在控件库中创建或编辑控件时，可以指定此频率。有关如何编辑或创建控件的说明，请参阅使用控件库管理中的控件 AWS Audit Manager。有关 Audit Manager 支持的API调用的更多信息，请参阅AWS 支持的 API 调用 AWS Audit Manager。

无论数据来源的证据收集频率如何，只要控件和评测处于活动状态，就会自动收集新的证据。