檢視洞見結果和問題清單並採取動作 - AWS Security Hub

本文為英文版的機器翻譯版本,如內容有任何歧義或不一致之處,概以英文版為準。

檢視洞見結果和問題清單並採取動作

AWS Security Hub 會先判斷符合篩選準則的發現項目,然後使用群組屬性將相符的發現項目分組。

您可以從主控台的「見解」頁面檢視結果和發現項目並對其採取行動。

如果您啟用跨區域彙總,受管深入解析 (當您登入彙總區域時) 的結果會包含來自彙總區域和連結區域的發現項目。如果洞察未按區域篩選,則自訂見解的結果也會包含來自彙總區域和連結區域的發現項目 (當您登入彙總區域時)。在其他地區,洞察結果僅適用於該區域。

如需設定跨區域彙總的相關資訊,請參閱了解安全中樞中的跨區域彙總

檢視洞察結果並採取行動

洞見結果由洞見結果的分組清單組成。例如,如果洞察是依資源識別碼分組的,則洞察結果就是資源識別碼清單。結果清單中的每個項目都會指出該項目符合的問題清單數。

如果發現項目依資源識別碼或資源類型分組,則結果會包含相符發現項目中的所有資源。這包括與篩選條件中指定的資源類型不同的資源類型的資源。例如,深入分析可識別與 S3 儲存貯體相關聯的發現項目。如果相符的發現項目同時包含 S3 儲存貯體資源和IAM存取金鑰資源,則洞察結果會同時包含這兩種資源。

在 Security Hub 主控台上,結果清單會從最多到最少的相符發現項目排序。Security Hub 只能顯示 100 個結果。如果群組值超過 100,您只會看到前 100 個。

除了結果清單之外,洞見結果還會顯示一組圖表,摘要下列屬性的相符問題清單數。

  • 嚴重性標籤 — 每個嚴重性標籤的發現項目數目

  • AWS 帳戶 ID — 相符發現項目IDs的前五個帳戶

  • 資源類型 — 相符發現項目的前五大資源類型

  • 資源 ID — 相符發現項目IDs的前五大資源

  • 產品名稱-相符搜尋結果的前五名尋找提供者

若您已設定自訂動作,即可將選取的結果傳送到自訂動作。動作必須與Security Hub Insight Results事件類型的 Amazon CloudWatch 規則相關聯。如需詳細資訊,請參閱使用 EventBridge 進行自動回應和修復。如果您尚未配置自訂動作,則會停用 [動作] 功能表。

Security Hub console
若要檢視分析結果並對其採取行動 (主控台)
  1. 開啟 AWS 安全中心主控台,位於https://console.aws.amazon.com/securityhub/

  2. 在導覽窗格中,選擇 Insights

  3. 若要顯示洞見結果的清單,請選擇洞見名稱。

  4. 選取各個結果的核取方塊,並傳送到自訂動作。

  5. Actions (動作) 選單選擇自訂動作。

Security Hub API, AWS CLI

若要檢視分析結果並對其採取行動 (API、 AWS CLI)

若要檢視見解結果,請使用 Security Hub 的>GetInsightResults作業API。如果您使用 AWS CLI,請執行get-insight-results命令。

要確定要返回結果的洞察力,您需要洞察力ARN。若要取得自ARNs訂見解的深入解析,請使用GetInsightsAPI作業或命get-insight-results令。

下列範例會擷取指定分析的結果。此範例已針對 Linux、macOS 或 Unix 格式化,並使用反斜線 (\) 行接續字元來改善可讀性。

$ aws securityhub get-insight-results --insight-arn "arn:aws:securityhub:us-west-1:123456789012:insight/123456789012/custom/a1b2c3d4-5678-90ab-cdef-EXAMPLE11111"

如需如何以程式設計方式建立自訂動作的資訊,請參閱使用自訂動作將調查結果和洞見結果傳送至 EventBridge

檢視洞察結果發現項目並採取處理行動 (主控台)

從 Security Hub 主控台的深入解析結果清單中,您可以顯示每個結果的發現項目清單。

若要顯示分析發現項目並採取處理行動 (主控台)
  1. 開啟 AWS 安全中心主控台,位於https://console.aws.amazon.com/securityhub/

  2. 在導覽窗格中,選擇 Insights

  3. 若要顯示洞見結果的清單,請選擇洞見名稱。

  4. 若要顯示洞見結果的問題清單,請從結果清單選擇項目。問題清單會顯示工作流程狀態為 NEWNOTIFIED 選取洞見結果的作用中問題清單。

從發現項目清單中,您可以執行下列動作: