AWS 服務 與 Security Hub 的整合

Security Hub 中的所有調查結果都使用 的標準JSON格式ASFF。ASFF 包括有關調查結果的來源、受影響資源和調查結果目前狀態的詳細資訊。透過 將受管和自訂規則評估 AWS Config 傳送至 Security Hub EventBridge。Security Hub 會將規則評估轉換為遵循調查結果，ASFF並盡最大努力豐富調查結果。

AWS Config 傳送至 Security Hub 的調查結果類型

啟用整合後， AWS Config 會將所有 AWS Config 受管規則和自訂規則的評估傳送至 Security Hub。只有啟用 Security Hub 後執行的評估才會傳送。例如，假設 AWS Config 規則評估顯示五個失敗的資源。如果我在此之後啟用 Security Hub，然後規則顯示第六個失敗的資源，則 只會將第六個資源評估 AWS Config 傳送至 Security Hub。

不包括服務連結 AWS Config 規則 的評估，例如用於在 Security Hub 控制項上執行檢查的評估。

將 AWS Config 調查結果傳送至 Security Hub

啟用整合時，Security Hub 會自動指派從 接收調查結果所需的許可 AWS Config。Security Hub 使用 service-to-service 層級許可，提供您透過 AWS Config Amazon 啟用此整合和匯入調查結果的安全方式 EventBridge。

傳送問題清單延遲

AWS Config 建立新的調查結果時，您通常可以在五分鐘內在 Security Hub 中檢視調查結果。

無法使用 Security Hub 時重試

AWS Config 會盡最大努力透過 將調查結果傳送至 Security Hub EventBridge。當事件無法成功交付至 Security Hub 時， EventBridge 會重試交付最多 24 小時或 185 次，以先發生者為準。

更新 Security Hub 中的現有 AWS Config 調查結果

AWS Config 將調查結果傳送至 Security Hub 之後，可以將相同調查結果的更新傳送至 Security Hub，以反映調查結果活動的其他觀察。僅針對ComplianceChangeNotification事件傳送更新。如果沒有發生合規變更，則不會將更新傳送至 Security Hub。Security Hub 會在最近的更新後 90 天或建立後 90 天刪除調查結果，如果沒有更新，則會刪除調查結果。

AWS Config 即使您刪除關聯的資源，Security Hub 也不會封存從 傳送的調查結果。

存在 AWS Config 調查結果的區域

AWS Config 調查結果會以區域為基礎發生。將調查結果 AWS Config 傳送至發生調查結果的相同區域或區域中的 Security Hub。

若要檢視您的 AWS Config 調查結果，請從 Security Hub 導覽窗格中選擇調查結果。若要篩選調查結果以僅顯示 AWS Config 調查結果，請在搜尋列下拉式清單中選擇產品名稱。輸入組態 ，然後選擇套用 。

解譯 Security Hub 中的 AWS Config 調查結果名稱

Security Hub 將 AWS Config 規則評估轉換為遵循 AWS 安全調查結果格式 （ASFF）. AWS Config rule 評估的調查結果，使用與 不同的事件模式ASFF。下表將 AWS Config 規則評估欄位與它們在 Security Hub 中顯示的ASFF規則評估欄位對應。

解讀嚴重性標籤

AWS Config 規則評估的所有調查結果在 MEDIUM中都有預設嚴重性標籤 ASFF。您可以使用 BatchUpdateFindingsAPI操作更新調查結果的嚴重性標籤。

來自 的典型調查結果 AWS Config

Security Hub 會將 AWS Config 規則評估轉換為遵循 的調查結果ASFF。以下是 AWS Config 中典型調查結果的範例ASFF。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::amzn-s3-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

啟用 Security Hub 後，此整合會自動啟用。 AWS Config 立即開始將調查結果傳送至 Security Hub。

若要停止傳送調查結果至 Security Hub，您可以使用 Security Hub 主控台或 Security HubAPI。

如需停止調查結果流程的指示，請參閱 啟用來自整合的調查結果流程。

在 Security Hub 中，將安全問題作為問題清單進行追蹤。有些調查結果來自其他 AWS 服務或第三方合作夥伴偵測到的問題。Security Hub 也有一組規則，用來偵測安全問題並產生問題清單。

Security Hub 提供用來跨所有這些來源管理問題清單的工具。您可以檢視並篩選問題清單列表，並檢視問題清單的詳細資訊。請參閱 在 Security Hub 中檢閱調查結果詳細資訊和調查結果歷史記錄。您也可以追蹤問題清單的調查狀態。請參閱 設定 Security Hub 調查結果的工作流程狀態。

Security Hub 中的所有調查結果都使用稱為 的標準JSON格式AWS 安全調查結果格式 （ASFF）。ASFF 包含問題來源、受影響資源的詳細資訊，以及調查結果的目前狀態。

AWS Health 是將調查結果傳送至 Security Hub 的其中一項 AWS 服務。

AWS Health 傳送至 Security Hub 的調查結果類型

啟用整合後， AWS Health 將符合一或多個所列規格的調查結果傳送至 Security Hub。Security Hub 會擷取 中的調查結果AWS 安全調查結果格式 （ASFF）。

將 AWS Health 調查結果傳送至 Security Hub

當您選擇接受來自 的調查結果時 AWS Health，Security Hub 會自動指派從 接收調查結果所需的許可 AWS Health。Security Hub 使用 service-to-service層級許可，為您提供安全、簡單的方法，以 EventBridge 代表您 AWS Health 透過 Amazon 從 啟用此整合和匯入調查結果。選擇接受調查結果會授予 Security Hub 使用 調查結果的許可 AWS Health。

傳送問題清單延遲

AWS Health 建立新調查結果時，通常會在五分鐘內傳送至 Security Hub。

無法使用 Security Hub 時重試

AWS Health 會盡最大努力透過 將調查結果傳送至 Security Hub EventBridge。當事件未成功交付至 Security Hub 時， EventBridge會重試傳送事件 24 小時。

更新 Security Hub 中的現有問題清單

AWS Health 將調查結果傳送至 Security Hub 之後，它可以傳送更新至相同的調查結果，以反映調查結果活動的其他觀察結果。

存在調查結果的區域

對於全域事件， AWS Health 將調查結果傳送至 us-east-1 （AWS 分割區）、cn-northwest-1 （中國分割區） 和 gov-us-west-1 （GovCloud 分割區） 中的 Security Hub。將區域特定事件 AWS Health 傳送至事件發生的相同區域或區域中的 Security Hub。

若要在 Security Hub 中檢視您的 AWS Health 調查結果，請從導覽面板中選擇調查結果。若要篩選調查結果以僅顯示 AWS Health 調查結果，請從產品名稱欄位中選擇運作狀態。

解譯 Security Hub 中的 AWS Health 調查結果名稱

AWS Health 會使用 AWS 安全調查結果格式 （ASFF）. AWS Health finding 將調查結果傳送至 Security Hub，與 Security Hub ASFF 格式相比，使用不同的事件模式。下表詳細說明所有 AWS Health 調查結果欄位及其在 Security Hub 中出現ASFF的對應欄位。

解讀嚴重性標籤

ASFF 調查結果中的嚴重性標籤是使用以下邏輯決定：

來自 的典型調查結果 AWS Health

AWS Health 會使用 將調查結果傳送至 Security HubAWS 安全調查結果格式 （ASFF）。以下是來自 的典型調查結果範例 AWS Health。

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in AWS Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to AWS Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "AWS"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

啟用 Security Hub 後，此整合會自動啟用。 AWS Health 立即開始將調查結果傳送至 Security Hub。

若要停止傳送調查結果至 Security Hub，您可以使用 Security Hub 主控台或 Security HubAPI。

如需停止調查結果流程的指示，請參閱 啟用來自整合的調查結果流程。