AWS 服務 與 Security Hub 的整合

Security Hub 中的所有問題清單都使用標準JSON格式 ASFF。 ASFF包含問題清單來源、受影響的資源，以及問題清單目前狀態的詳細資訊。透過 AWS Config 將受管和自訂規則評估傳送至 Security Hub EventBridge。Security Hub 會將規則評估轉換為遵循 的調查結果，ASFF並盡最大努力豐富調查結果。

AWS Config 傳送至 Security Hub 的調查結果類型

啟用整合後， AWS Config 會將所有 AWS Config 受管規則和自訂規則的評估傳送至 Security Hub。只會傳送啟用 Security Hub 後執行的評估。例如，假設 AWS Config 規則評估顯示五個失敗的資源。如果在此之後啟用 Security Hub，然後規則顯示第六個失敗的資源，則 只會將第六個資源評估 AWS Config 傳送至 Security Hub。

排除來自服務連結 AWS Config 規則的評估，例如用於在 Security Hub 控制項上執行檢查的規則。

將 AWS Config 問題清單傳送至 Security Hub

啟用整合時，Security Hub 會自動指派從中接收問題清單所需的許可 AWS Config。Security Hub 使用 service-to-service關卡許可，提供您 AWS Config 透過 Amazon 從 啟用此整合和匯入問題清單的安全方式 EventBridge。

傳送問題清單延遲

AWS Config 建立新的問題清單時，您通常可以在五分鐘內在 Security Hub 中檢視問題清單。

無法使用 Security Hub 時重試

AWS Config 會盡力透過 將問題清單傳送到 Security Hub EventBridge。當事件未成功交付至 Security Hub 時， EventBridge 會重試交付最多 24 小時或 185 次，以先發生者為準。

更新 Security Hub 中的現有 AWS Config 問題清單

AWS Config 將問題清單傳送至 Security Hub 之後，它可以將相同問題清單的更新傳送至 Security Hub，以反映問題清單活動的其他觀察。更新只會針對ComplianceChangeNotification事件傳送。如果沒有發生合規變更，則不會將更新傳送到 Security Hub。Security Hub 會在最近一次更新後 90 天或建立後 90 天刪除問題清單，如果未進行更新。

AWS Config 即使您刪除相關聯的資源，Security Hub 也不會封存從 傳送的問題清單。

存在 AWS Config 調查結果的區域

AWS Config 問題清單是以區域為基礎。 會將問題清單 AWS Config 傳送至發生問題清單的相同區域或區域中的 Security Hub。

若要檢視問題 AWS Config 清單，請從 Security Hub 導覽窗格中選擇問題清單。若要篩選問題清單以僅顯示問題 AWS Config 清單，請在搜尋列下拉式清單中選擇產品名稱。輸入 Config，然後選擇套用。

解譯 Security Hub 中的 AWS Config 問題清單名稱

Security Hub 會將 AWS Config 規則評估轉換為遵循 AWS 安全調查結果格式 (ASFF). AWS Config rule 評估的調查結果，使用與 不同的事件模式ASFF。下表將 AWS Config 規則評估欄位與它們在 Security Hub 中顯示的ASFF對等對應。

解譯嚴重性標籤

AWS Config 規則評估的所有調查結果在 MEDIUM中都有預設嚴重性標籤 ASFF。您可以使用 BatchUpdateFindingsAPI操作更新問題清單的嚴重性標籤。

來自 的典型調查結果 AWS Config

Security Hub 會將 AWS Config 規則評估轉換為遵循 的調查結果ASFF。以下是 AWS Config 中典型調查結果的範例ASFF。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

啟用 Security Hub 之後，會自動啟用此整合。 AWS Config 立即開始將問題清單傳送至 Security Hub。

若要停止傳送問題清單至 Security Hub，您可以使用 Security Hub 主控台或 Security HubAPI。

如需停止問題清單流程的指示，請參閱 啟用來自整合的調查結果流程。

在 Security Hub 中，將安全問題作為問題清單進行追蹤。有些問題清單來自 AWS 其他服務或第三方合作夥伴偵測到的問題。Security Hub 也有一組規則，用來偵測安全問題並產生問題清單。

Security Hub 提供用來跨所有這些來源管理問題清單的工具。您可以檢視並篩選問題清單列表，並檢視問題清單的詳細資訊。請參閱 在 Security Hub 中檢閱問題清單詳細資訊和問題清單歷史記錄。您也可以追蹤問題清單的調查狀態。請參閱 設定 Security Hub 調查結果的工作流程狀態。

Security Hub 中的所有問題清單都使用稱為 的標準JSON格式AWS 安全調查結果格式 (ASFF)。 ASFF包含問題來源、受影響資源的詳細資訊，以及問題清單的目前狀態。

AWS Health 是將問題清單傳送到 Security Hub 的其中一項 AWS 服務。

AWS Health 傳送至 Security Hub 的調查結果類型

啟用整合之後， AWS Health 會將符合一或多個所列規格的調查結果傳送至 Security Hub。Security Hub 會擷取 中的調查結果AWS 安全調查結果格式 (ASFF)。

將 AWS Health 問題清單傳送至 Security Hub

當您選擇接受問題清單時 AWS Health，Security Hub 會自動指派接收問題清單所需的許可 AWS Health。Security Hub 使用 service-to-service關卡許可，為您提供安全、簡單的方式， EventBridge 以代表您 AWS Health 透過 Amazon 從 啟用此整合和匯入問題清單。選擇接受調查結果會授予 Security Hub 許可，以從中使用調查結果 AWS Health。

傳送問題清單延遲

當 AWS Health 建立新的問題清單時，通常會在五分鐘內傳送至 Security Hub。

無法使用 Security Hub 時重試

AWS Health 會盡力透過 將問題清單傳送到 Security Hub EventBridge。當事件未成功交付至 Security Hub 時， EventBridge 會重試傳送事件 24 小時。

更新 Security Hub 中的現有問題清單

AWS Health 將問題清單傳送至 Security Hub 後，它可以傳送更新至相同的問題清單，以反映對 Security Hub 問題清單活動的其他觀察。

存在調查結果的區域

對於全域事件， AWS Health 會將問題清單傳送至 us-east-1 (AWS 分割區）、cn-northwest-1 （中國分割區） 和 gov-us-west-1 (GovCloud 分割區） 中的 Security Hub。 AWS Health 會將區域特定事件傳送至事件發生的相同區域或區域中的 Security Hub。

若要在 Security Hub 中檢視問題 AWS Health 清單，請從導覽面板中選擇問題清單。若要篩選問題清單以僅顯示問題 AWS Health 清單，請從產品名稱欄位中選擇運作狀態。

解譯 Security Hub 中的 AWS Health 問題清單名稱

AWS Health 使用 AWS 安全調查結果格式 (ASFF). AWS Health finding 將調查結果傳送到 Security Hub，與 Security Hub ASFF 格式相比， 會使用不同的事件模式。下表詳細說明所有 AWS Health 調查結果欄位及其在 Security Hub 中出現的ASFF對應欄位。

解譯嚴重性標籤

ASFF 調查結果中的嚴重性標籤是使用以下邏輯決定：

來自 的典型調查結果 AWS Health

AWS Health 會使用 將問題清單傳送到 Security HubAWS 安全調查結果格式 (ASFF)。以下是典型調查結果的範例 AWS Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

啟用 Security Hub 之後，會自動啟用此整合。 AWS Health 立即開始將問題清單傳送至 Security Hub。

若要停止傳送問題清單至 Security Hub，您可以使用 Security Hub 主控台或 Security HubAPI。

如需停止問題清單流程的指示，請參閱 啟用來自整合的調查結果流程。