可用的 Amazon 服务集成

Security Hub 中的所有结果都使用 ASFF 的标准 JSON 格式。ASFF 包括有关结果起源、受影响资源以及结果当前状态的详细信息。Amazon Config通过以下方式将托管和自定义规则评估发送到 Security Hub EventBridge. Security Hub 将规则评估转换为遵循 ASFF 的结果，并在尽最大努力的基础上丰富调查结果。

结果Amazon Config发送到Security Hu

激活集成后，Amazon Config发送所有评估结果Amazon Config托管规则和自定义规则到 Security Hub。仅限来自的评估服务相关的Amazon Config规则，例如用于检查安全控制的那些被排除在外。

发送Amazon Config结果

激活集成后，Security Hub 将自动分配从中接收发现所需的权限Amazon Config. SSecurity Hub service-to-service 级别权限，为你提供了一种安全的方法来激活此集成并从中导入发现Amazon Config通过亚马逊 EventBridge.

发送结果的延迟

当Amazon Config创建新的查找结果，您通常可以在五分钟内在 Security Hub 中查看该查找结果。

Security Hub 不可用时重试

Amazon Config尽最大努力将结果发送到 Security Hub EventBridge. 当事件未成功传送到Security Hub 时， EventBridge重试配送最多 24 小时或 185 次，以先到者为准。

更新现有的集成Amazon ConfigSecurity Hub

晚于Amazon Config向 Security Hub 发送结果，它可以向 Security Hub 发送反映对查找活动的其他观测结果到中。

其所在的地区Amazon Config结果

Amazon Config调查结果是以区域为基础的。Amazon Config将发现结果发送到发现结果所在区域或区域的 Security Hub。

查看您的Amazon Config发现，选择结果来自 Security Hub 导航窗格。筛选结果以仅显示Amazon Config发现，选择产品名称在搜索栏下拉列表中。ENTERConfig，然后选择申请.

解释Amazon Config查找 Security Hub 中

SSecurity HubAmazon Config将规则评估转化为随后的调查结果Amazon Security Finding 格式 (ASFF).Amazon Config与 ASFF 相比，规则评估使用不同的事件模式。下表映射了Amazon Config规则评估字段与它们在 Security Hub 中显示的 ASFF 对应字段。

解析严重性标签

来自的结果Amazon Config规则评估的默认严重性标签为中等在 ASFF 中。您可以使用以下命令更新调查结果的严重性标签BatchUpdateFindingsAPI 操作

来自 Amazon Config 的典型结果

SSecurity HubAmazon Config规则评估转化为ASFF之后的调查结果。下面是典型结果的示例Amazon Config在 ASFF 中。

{
	"SchemaVersion": "2018-10-08",
	"Id": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/45g070df80cb50b68fa6a43594kc6fda1e517932",
	"ProductArn": "arn:aws:securityhub:eu-central-1::product/aws/config",
	"ProductName": "Config",
	"CompanyName": "AWS",
	"Region": "eu-central-1",
	"GeneratorId": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
	"AwsAccountId": "123456789012",
	"Types": [
		"Software and Configuration Checks"
	],
	"CreatedAt": "2022-04-15T05:00:37.181Z",
	"UpdatedAt": "2022-04-19T21:20:15.056Z",
	"Severity": {
		"Label": "MEDIUM",
		"Normalized": 40
	},
	"Title": "s3-bucket-level-public-access-prohibited-config-integration-demo",
	"Description": "This finding is created for a resource compliance change for config rule: s3-bucket-level-public-access-prohibited-config-integration-demo",
	"ProductFields": {
		"aws/securityhub/ProductName": "Config",
		"aws/securityhub/CompanyName": "AWS",
		"aws/securityhub/FindingId": "arn:aws:securityhub:eu-central-1::product/aws/config/arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq/finding/46f070df80cd50b68fa6a43594dc5fda1e517902",
		"aws/config/ConfigRuleArn": "arn:aws:config:eu-central-1:123456789012:config-rule/config-rule-mburzq",
		"aws/config/ConfigRuleName": "s3-bucket-level-public-access-prohibited-config-integration-demo",
		"aws/config/ConfigComplianceType": "NON_COMPLIANT"
	},
	"Resources": [{
		"Type": "AwsS3Bucket",
		"Id": "arn:aws:s3:::config-integration-demo-bucket",
		"Partition": "aws",
		"Region": "eu-central-1",
		"Details": {
			"AwsS3Bucket": {
				"OwnerId": "4edbba300f1caa608fba2aad2c8fcfe30c32ca32777f64451eec4fb2a0f10d8c",
				"CreatedAt": "2022-04-15T04:32:53.000Z"
			}
		}
	}],
	"Compliance": {
		"Status": "FAILED"
	},
	"WorkflowState": "NEW",
	"Workflow": {
		"Status": "NEW"
	},
	"RecordState": "ACTIVE",
	"FindingProviderFields": {
		"Severity": {
			"Label": "MEDIUM"
		},
		"Types": [
			"Software and Configuration Checks"
		]
	}
}

要使用Amazon Config与 Security Hub 集成，则必须设置这两项服务，并在其中添加至少一个托管或自定义规则Amazon Config. 有关如何设置的信息Amazon Config请参阅阅阅开始使用在Amazon Config开发人员指南. 有关如何设置 Security Hub 的信息，请参阅设置AmazonSecurity Hub.

在你两者都设置好之后Amazon Config和 Security Hub，集成将自动激活。Amazon Config立即开始将结果发送到 Security Hub。

要停止向 Security Hub 发送结果，您可以使用 Security Hub API 或Amazon CLI.

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成的结果流（Security Hub API，Amazon CLI）。

在 Security Hub 中，安全问题按结果进行跟踪。一些发现结果来自其他 Amazon 服务或第三方合作伙伴检测到的问题。Security Hub 还有一套用于检测安全问题和生成结果的规则。

Security Hub 提供了管理来自所有这些来源的结果的工具。您可以查看和筛选结果列表，并查看结果的详细信息。请参阅 在中查看查找列表和详细信息Amazon Security Hub。您还可以跟踪结果的调查状态。请参阅 对结果采取措施Amazon Security Hub。

Security Hub 中的所有结果都使用标准的 JSON 格式，称为Amazon Security Finding 格式 (ASFF). ASFF 包括有关问题根源、受影响资源以及结果当前状态的详细信息。

Amazon Health是其中之一Amazon将结果发送到 Security Hub 的服务。

结果Amazon Health发送到Security Hu

启用Amazon Health将其生成的所有与安全相关的发现发送到 Security Hub。使用以下命令将发现结果发送到 Security HubAmazon Security Finding 格式 (ASFF). 与安全相关的发现定义如下：

发送Amazon Health结果

当您选择接受来自的调查结果时Amazon Health，Security Hub 将自动分配从中接收调查结果所需的权限Amazon Health. SSecurity Hub service-to-service 级别权限为您提供了一种安全、简便的方法来启用此集成并从中导入调查结果Amazon Health通过亚马逊 EventBridge 代表您。选择接受结果授予 Security Hub 使用来自的发现的权限Amazon Health.

发送结果的延迟

当Amazon Health创建新结果，通常会在五分钟内将结果发送到 Security Hub。

Security Hub 不可用时重试

Amazon Health尽最大努力将结果发送到 Security Hub EventBridge. 当事件未成功传送到Security Hub 时， EventBridge重试发送事件 24 个小时。

更新 Security Hub 中的现有结果

晚于Amazon Health向 Security Hub 发送结果，它可以发送反映对查找活动的其他观测结果到 Security Hub 中。

存在调查结果的地区

对于全球活动，Amazon Health将结果发送到 us-east-1 Security Hub (Amazon分区）、cn-northwest-1（中国分区）和 gov-us-west-1 (-1GovCloud 分区）。Amazon Health将特定区域的事件发送到事件发生地相同的一个或多个区域中的 Security Hub。

查看您的Amazon HealthSecurity Hub 中结果从导航面板中查看。筛选结果以仅显示Amazon Health发现，选择运行状况来自 的产品名称字段中返回的子位置类型。

解释Amazon Health查找 Security Hub 中

Amazon Health使用 Security Hub 发送结果Amazon Security Finding 格式 (ASFF).Amazon Health与 Security Hub ASFF 格式相比，查找使用了不同的事件模式。下表详细说明了所有Amazon Health查找与 ASFF 对应字段在 Security Hub 中出现的字段。

解析严重性标签

ASFF 调查结果中的严重性标签是使用以下逻辑确定的：

来自 Amazon Health 的典型结果

Amazon HealthSecurity HubAmazon Security Finding 格式 (ASFF). 下面是典型结果的示例Amazon Health.

{
            "SchemaVersion": "2018-10-08",
            "Id": "arn:aws:health:us-east-1:123456789012:event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96/101F7FBAEFC663977DA09CFF56A29236602834D2D361E6A8CA5140BFB3A69B30",
            "ProductArn": "arn:aws:securityhub:us-east-1::product/aws/health",
            "GeneratorId": "AWS_SES_CMF_PENDING_TO_SUCCESS",
            "AwsAccountId": "123456789012",
            "Types": [
                "Software and Configuration Checks"
            ],
            "CreatedAt": "2022-01-07T16:34:04.000Z",
            "UpdatedAt": "2022-01-07T19:17:43.000Z",
            "Severity": {
                "Label": "MEDIUM",
                "Normalized": 40
            },
            "Title": "AWS Health - AWS_SES_CMF_PENDING_TO_SUCCESS",
            "Description": "Congratulations! Amazon SES has successfully detected the MX record required to use 4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com as a custom MAIL FROM domain for verified identity cmf.pinpoint.sysmon-iad.adzel.com in Amazon Region US East (N. Virginia).\\n\\nYou can now use this MAIL FROM domain with cmf.pinpoint.sysmon-iad.adzel.com and any other verified identity that is configured to use it. For information about how to configure a verified identity to use a custom MAIL FROM domain, see http://docs.aws.amazon.com/ses/latest/DeveloperGuide/mail-from-set.html .\\n\\nPlease note that this email only applies to Amazon Region US East (N. Virginia).",
            "SourceUrl": "https://phd.aws.amazon.com/phd/home#/event-log?eventID=arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
            "ProductFields": {
                "aws/securityhub/FindingId": "arn:aws:securityhub:us-east-1::product/aws/health/arn:aws:health:us-east-1::event/SES/AWS_SES_CMF_PENDING_TO_SUCCESS/AWS_SES_CMF_PENDING_TO_SUCCESS_303388638044_33fe2115-8dad-40ce-b533-78e29f49de96",
                "aws/securityhub/ProductName": "Health",
                "aws/securityhub/CompanyName": "Amazon"
            },
            "Resources": [
                {
                    "Type": "Other",
                    "Id": "4557227d-9257-4e49-8d5b-18a99ced4be9.cmf.pinpoint.sysmon-iad.adzel.com"
                }
            ],
            "WorkflowState": "NEW",
            "Workflow": {
                "Status": "NEW"
            },
            "RecordState": "ACTIVE",
            "FindingProviderFields": {
                "Severity": {
                    "Label": "MEDIUM"
                },
                "Types": [
                    "Software and Configuration Checks"
                ]
            }
        }
    ]
}

当您设置 Security Hub 时，与Amazon Health自动激活。Amazon Health立即开始将结果发送到 Security Hub。

要停止向 Security Hub 发送结果，您可以使用 Security Hub API 或Amazon CLI.

请参阅禁用和启用来自集成的结果流（控制台）或禁用来自集成的结果流（Security Hub API，Amazon CLI）。