整合的控件调查发现生成、更新和存档控制结果控制结果的自动化和隐藏控制结果的合规性详情 ProductFields 控制结果的详细信息控制结果的严重性级别

生成和更新控件调查发现

AWS Security Hub 云安全态势管理 (CSPM) 在对安全控制进行检查时生成并更新控制结果。控制结果使用AWS 安全调查结果格式 (ASFF)。

Security Hub CSPM 通常会对控件的每项安全检查收费。但是，如果多个控件使用相同的 AWS Config 规则，则 Security Hub CSPM 仅针对该规则对每项检查收取一次费用。例如，CIS AWS 基金会基准标准和 AWS 基础安全最佳实践标准中的多个控件都使用该 AWS Config iam-password-policy规则。每次 Security Hub CSPM 根据该规则运行检查时，它会为每个相关控件生成单独的控制结果，但只对检查收取一次费用。

如果对照查找结果的大小超过最大值 240 KB，Security Hub CSPM 会将该Resource.Details对象从查找结果中移除。对于由 AWS Config 资源支持的控件，您可以使用 AWS Config 控制台查看资源详细信息。

整合的控件调查发现

如果您的账户启用了合并控制结果，Security Hub CSPM 会为控件的每项安全检查生成一个查找结果或查找结果更新，即使某项控件适用于多个已启用的标准。有关控制措施及其适用的标准的列表，请参阅Security Hub CSPM 的控制参考。我们建议启用整合的控件调查发现以减少调查发现噪音。

如果您在 2023 年 2 月 23 日 AWS 账户之前启用了 Security Hub CSPM，则可以按照本节后面的说明启用合并控制结果。如果您在 2023 年 2 月 23 日当天或之后启用 Security Hub CSPM，则会自动为您的账户启用合并控制结果。

如果您通过手动邀请流程使用与成员账户的 Security Hub CSPM 集成， AWS Organizations或者通过手动邀请流程邀请成员账户，则只有在管理员账户启用合并控制结果后，才会为成员账户启用合并控制结果。如果管理员帐户禁用该功能，则成员帐户将禁用该功能。此行为适用于新的和现有的成员账户。此外，如果管理员使用中央配置来管理多个账户的 Security Hub CSPM，则他们无法使用中央配置策略来启用或禁用账户的整合控制结果。

如果您禁用账户的整合控制结果，Security Hub CSPM 会为每个已启用的标准生成或更新单独的控制结果，其中包含一个控件。例如，如果您启用四个共享一个控件的标准，则在对该控件进行安全检查后，您会收到四个不同的结果。如果启用整合的控件调查发现，则只会收到一项调查发现。

启用整合控制结果后，Security Hub CSPM 会创建与标准无关的新发现，并存档基于标准的原始调查结果。某些控件查找字段和值会发生变化，这可能会影响您的现有工作流程。有关这些更改的信息，请参见整合的控件调查发现——ASFF 的变化。启用合并控制结果还可能影响集成的第三方产品从 Security Hub CSPM 收到的调查结果。如果您在 AWS v2.0.0 上使用自动安全响应解决方案，请注意它支持整合的控制结果。

要启用或禁用整合的控件调查发现，您必须登录管理员账户或独立账户。

注意

启用整合控制结果后，Security Hub CSPM 最多可能需要 24 小时才能生成新的合并调查结果并存档基于标准的现有调查结果。同样，禁用合并控制结果后，Security Hub CSPM 最多可能需要 24 小时才能生成新的基于标准的调查结果并存档现有的合并调查结果。在这段时间里，你可能会在账户中看到一系列与标准无关的调查结果和基于标准的调查结果。

生成、更新和存档控制结果

Security Hub CSPM 按计划运行安全检查。Security Hub CSPM 首次对控件运行安全检查时，它会为控件检查的每个 AWS 资源生成一个新的发现。随后，Security Hub CSPM 每次对控件进行安全检查时，都会更新现有发现以报告检查结果。这意味着您可以使用个别调查结果提供的数据，根据特定控制措施跟踪特定资源的合规性变化。

例如，如果特定控件的资源合规状态从变FAILED为PASSED，则 Security Hub CSPM 不会生成新的调查结果。相反，Security Hub CSPM 会更新控件和资源的现有发现。在调查结果中，Security Hub CSPM 将合规状态 (Compliance.Status) 字段的值更改为。PASSEDSecurity Hub CSPM 还会更新其他字段的值以反映检查结果，例如，严重性标签、工作流程状态和时间戳，它们指示 Security Hub CSPM 最近一次运行检查并更新检查结果的时间。

在报告合规状态的变化时，Security Hub CSPM 可能会更新控制结果中的以下任何字段：

Compliance.Status— 指定控件的资源的新合规性状态。
FindingProviderFields.Severity.Label— 发现严重性的新定性表示，例如LOWMEDIUM、或HIGH。
FindingProviderFields.Severity.Original— 以新的量化方式表示调查结果的严重性，0例如合规资源。
FirstObservedAt— 当资源的合规性状态最近发生变化时。
LastObservedAt— Security Hub CSPM 最近对指定控件和资源进行安全检查时。
ProcessedAt— Security Hub CSPM 最近开始处理调查结果时。
ProductFields.PreviousComplianceStatus— 指定控件的资源以前的合规性状态 (Compliance.Status)。
UpdatedAt— Security Hub CSPM 最近更新调查结果时。
Workflow.Status— 调查结果的状态，基于指定控制的资源的新合规状态。

Security Hub CSPM 是否更新字段主要取决于对适用控件和资源的最新安全检查结果。例如，如果特定控件的资源合规状态从PASSED变为，则 Security Hub CSPM 会将调查结果的工作流程状态更改为。FAILED NEW要跟踪单个发现的更新，您可以参考发现的历史记录。有关查找结果中各个字段的详细信息，请参阅AWS 安全调查结果格式 (ASFF)。

在某些情况下，Security Hub CSPM 会生成新的发现结果供对照组后续检查，而不是更新现有发现。如果支持控件的 AWS Config 规则存在问题，则可能会发生这种情况。如果发生这种情况，Security Hub CSPM 会存档现有调查结果，并为每张支票生成一个新的调查结果。在新发现中，合规状态为NOT_AVAILABLE，记录状态为ARCHIVED。解决 AWS Config 规则问题后，Security Hub CSPM 会生成新的发现并开始对其进行更新，以跟踪各个资源合规性状态的后续变化。

除了生成和更新控制结果外，Security Hub CSPM 还会自动归档符合特定标准的控制结果。如果禁用控件、删除指定资源或指定资源已不存在，Security Hub CSPM 会存档调查结果。由于不再使用关联的服务，资源可能已不存在。更具体地说，如果控制结果符合以下条件之一，Security Hub CSPM 会自动存档该发现：

该发现已经 3-5 天没有更新了。请注意，基于此时间范围的存档是尽力而为，不能保证。
NOT_APPLICABLE针对指定资源的合规性状态返回的关联 AWS Config 评估。

要确定查找结果是否已存档，可以参考该查找结果的记录状态 (RecordState) 字段。如果存档了查找结果，则此字段的值为ARCHIVED。

Security Hub CSPM 将存档的控制结果存档 30 天。30 天后，搜索结果将过期，Security Hub CSPM 会将其永久删除。为了确定存档的对照调查结果是否已过期，Security Hub CSPM 根据查找结果UpdatedAt字段的值进行计算。

要将存档的控制结果存储超过 30 天，您可以将结果导出到 S3 存储桶。您可以通过使用带有 Amazon EventBridge 规则的自定义操作来实现此目的。有关更多信息，请参阅 EventBridge 用于自动响应和补救。

注意

2025 年 7 月 3 日之前，当控件的资源合规状态发生变化时，Security Hub CSPM 生成和更新控制结果的方式有所不同。以前，Security Hub CSPM 创建了新的控制发现并存档了资源的现有调查结果。因此，对于特定的控件和资源，您可能有多个已存档的调查结果，直到这些结果过期（30 天后）。

控制结果的自动化和隐藏

您可以使用 Security Hub CSPM 自动化规则来更新或隐藏特定的控制结果。如果您隐藏了某个搜索结果，则可以继续访问该搜索结果。但是，抑制表明您认为无需采取任何措施来解决该发现。

通过抑制搜索结果，可以减少查找噪音。例如，您可以禁止在测试帐号中生成的控制结果。或者，您可以隐藏与特定资源相关的搜索结果。要了解有关自动更新或隐藏查找结果的更多信息，请参阅了解 Security Hub CSPM 中的自动化规则。

当你想要更新或隐藏特定的控制结果时，自动化规则是合适的。但是，如果某个控件与您的组织或用例无关，我们建议您禁用该控件。如果您禁用某个控件，Security Hub CSPM 不会对其进行安全检查，也不会为此向您收费。

控制结果的合规性详情

在控制措施安全检查生成的调查结果中，合规性对象和 AWS 安全调查结果格式 (ASFF) 中的字段提供了控件所检查的各个资源的合规性详细信息。这包括以下信息：

AssociatedStandards— 启用控件的启用标准。
RelatedRequirements— 所有启用标准中对控制的相关要求。这些要求源自第三方控制安全框架，例如支付卡行业数据安全标准 (PCI DSS) 或 NIST SP 800-171 修订版 2 标准。
SecurityControlId— Security Hub CSPM 支持的跨标准的控制标识符。
Status— Security Hub CSPM 为该控件运行的最新检查结果。先前检查的结果保留在调查结果的历史记录中。
StatusReasons— 列出Status字段指定值的原因的数组。对于每种原因，这都包括原因代码和描述。

下表列出了调查结果可能包含在StatusReasons数组中的原因代码和描述。补救步骤因哪个控件生成了具有指定原因代码的调查结果而异。要查看控制措施的补救指南，请参阅Security Hub CSPM 的控制参考。

原因代码	合规性状态	描述
`CLOUDTRAIL_METRIC_FILTER_NOT_VALID`	`FAILED`	多区域 CloudTrail 跟踪没有有效的指标筛选条件。
`CLOUDTRAIL_METRIC_FILTERS_NOT_PRESENT`	`FAILED`	多区域 CloudTrail 跟踪不存在指标筛选条件。
`CLOUDTRAIL_MULTI_REGION_NOT_PRESENT`	`FAILED`	该账户没有具有所需配置的多区域 CloudTrail 跟踪。
`CLOUDTRAIL_REGION_INVAILD`	`WARNING`	多区域 CloudTrail 跟踪不在当前区域中。
`CLOUDWATCH_ALARM_ACTIONS_NOT_VALID`	`FAILED`	不存在有效的警报操作。
`CLOUDWATCH_ALARMS_NOT_PRESENT`	`FAILED`	CloudWatch 账户中不存在警报。
`CONFIG_ACCESS_DENIED`	`NOT_AVAILABLE` AWS Config 状态是 `ConfigError`	AWS Config 访问被拒绝。确认已 AWS Config 启用并已被授予足够的权限。
`CONFIG_EVALUATIONS_EMPTY`	`PASSED`	AWS Config 根据规则评估了您的资源。该规则不适用于其范围内的 AWS 资源，指定的资源已被删除，或者评估结果被删除。
`CONFIG_RECORDER_CUSTOM_ROLE`	`FAILED`（用于配置 1）	AWS Config 记录器使用自定义 IAM 角色而不是 AWS Config 服务相关角色，并且 Config.1 的`includeConfigServiceLinkedRoleCheck`自定义参数未设置为。`false`
`CONFIG_RECORDER_DISABLED`	`FAILED`（用于配置 1）	AWS Config 在配置记录器开启的情况下未启用。
`CONFIG_RECORDER_MISSING_REQUIRED_RESOURCE_TYPES`	`FAILED`（用于配置 1）	AWS Config 并未记录与启用的 Security Hub CSPM 控件相对应的所有资源类型。为以下资源开启录制:`Resources that aren't being recorded`.
`CONFIG_RETURNS_NOT_APPLICABLE`	`NOT_AVAILABLE`	合规性状态`NOT_AVAILABLE`是因为 AWS Config 返回的状态为 “不适用”。 AWS Config 未提供该状态的原因。以下是不适用状态的一些可能原因：该资源已从 AWS Config 规则的范围中删除。该 AWS Config 规则已删除。资源已删除。 AWS Config 规则逻辑可能会生成 “不适用” 状态。
`CONFIG_RULE_EVALUATION_ERROR`	`NOT_AVAILABLE` AWS Config 状态是 `ConfigError`	此原因代码用于几种不同类型的评估错误。描述提供了具体的原因信息。错误类型可以是以下类型之一：由于缺乏权限而无法执行评估。描述提供缺少的特定权限。参数缺少值或值无效。描述提供参数和参数值的要求。从 S3 存储桶读取时出错。描述标识存储桶并提供特定错误。缺少 AWS 订阅。评估时出现一般超时。账户暂停。
`CONFIG_RULE_NOT_FOUND`	`NOT_AVAILABLE` AWS Config 状态是 `ConfigError`	该 AWS Config 规则正在创建中。
`INTERNAL_SERVICE_ERROR`	`NOT_AVAILABLE`	出现未知错误。
`LAMBDA_CUSTOM_RUNTIME_DETAILS_NOT_AVAILABLE`	`FAILED`	Security Hub CSPM 无法对自定义 Lambda 运行时执行检查。
`S3_BUCKET_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	该发现处于`WARNING`状态，因为与此规则关联的 S3 存储桶位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_SUBSCRIPTION_NOT_PRESENT`	`FAILED`	CloudWatch 日志指标筛选条件没有有效的 Amazon SNS 订阅。
`SNS_TOPIC_CROSS_ACCOUNT`	`WARNING`	该调查发现处于一种 `WARNING` 状态。与此规则关联的 SNS 主题由其他账户拥有。当前账户无法获取订阅信息。拥有 SNS 主题的账户必须向当前账户授予访问 SNS 主题的 `sns:ListSubscriptionsByTopic` 权限。
`SNS_TOPIC_CROSS_ACCOUNT_CROSS_REGION`	`WARNING`	该调查发现处于 `WARNING` 状态，因为与此规则关联的 SNS 主题位于不同的区域或账户中。此规则不支持跨区域或跨账户检查。建议您在此区域或账户中禁用此控制。仅在资源所在的区域或账户中运行它。
`SNS_TOPIC_INVALID`	`FAILED`	与此规则关联的 SNS 主题无效。
`THROTTLING_ERROR`	`NOT_AVAILABLE`	相关 API 操作超出了允许的速率。

ProductFields 控制结果的详细信息

在控件安全检查生成的结果中， AWS 安全调查结果格式 (ASFF) 中的ProductFields属性可以包括以下字段。

ArchivalReasons:0/Description

描述 Security Hub CSPM 存档调查结果的原因。

例如，当您禁用控件或标准，或者启用或禁用合并控制结果时，Security Hub CSPM 会存档现有发现。

ArchivalReasons:0/ReasonCode

指定 Security Hub CSPM 存档调查结果的原因。

例如，当您禁用控件或标准，或者启用或禁用合并控制结果时，Security Hub CSPM 会存档现有发现。

PreviousComplianceStatus

截至调查结果最新更新时，指定控件的资源先前的合规状态 (Compliance.Status)。如果资源的合规性状态在最近一次更新期间没有改变，则此值与查找结果Compliance.Status字段的值相同。有关可能的值的列表，请参阅评估合规状态和控制状态。

StandardsGuideArn 或 StandardsArn

与控件关联的标准的 ARN。

对于 CIS AWS 基金会基准标准，字段为StandardsGuideArn。对于 PCI DSS 和 AWS 基础安全最佳实践标准，字段为。StandardsArn

如果您启用整合的控件调查发现，这些字段会被移除，取而代之的是 Compliance.AssociatedStandards。

StandardsGuideSubscriptionArn 或 StandardsSubscriptionArn

账户订阅该标准的 ARN。

对于 CIS AWS 基金会基准标准，字段为StandardsGuideSubscriptionArn。对于 PCI DSS 和 AWS 基础安全最佳实践标准，字段为。StandardsSubscriptionArn

如果您启用整合的控件调查发现，这些字段会被移除。

RuleId 或 ControlId

控件的标识符。

对于 CIS AWS 基金会基准标准，字段为RuleId。对于其他标准，该字段为 ControlId。

如果您启用整合的控件调查发现，这些字段会被移除，取而代之的是 Compliance.SecurityControlId。

RecommendationUrl

控件补救信息的 URL。如果您启用整合的控件调查发现，该字段会被移除，取而代之的是 Remediation.Recommendation.Url。

RelatedAWSResources:0/name

与调查发现关联的资源的名称。

RelatedAWSResource:0/type

与控件关联的资源类型。

StandardsControlArn

控件的 ARN。如果您启用整合的控件调查发现，该字段会被移除。

aws/securityhub/ProductName

对于控制结果，产品名称为Security Hub。

aws/securityhub/CompanyName

对于控制结果，公司名称为AWS。

aws/securityhub/annotation

对控件所发现问题的描述。

aws/securityhub/FindingId

发现的标识符。

如果您启用整合的控件调查发现，该字段不会引用标准。

控制结果的严重性级别

分配给 Security Hub CSPM 控件的严重性表明了该控件的重要性。对照的严重性决定了分配给对照调查发现的严重性标签。

严重性条件

控制的严重程度是根据对以下标准的评估来确定的：

威胁行为者利用与控制相关的配置弱点有多困难？ 难度取决于利用弱点执行威胁场景所需的复杂程度。
这种弱点导致你的 AWS 账户资源受损的可能性有多大？ 您的资源泄露意味着您的数据 AWS 账户或 AWS 基础架构的机密性、完整性或可用性在某种程度上受到损害。泄露的可能性表明威胁情景导致您的 AWS 服务或资源中断或泄露的可能性有多大。

例如，考虑以下配置缺点：

用户访问密钥不是每 90 天轮换一次。
IAM 根用户密钥存在。

对于攻击者来说，这两个弱点同样难以利用。在这两种情况下，攻击者都可以使用凭证盗窃或其他方法来获取用户密钥。然后，他们可以使用它以未经授权的方式访问您的资源。

但是，如果威胁行为者获取了根用户访问密钥，则受到损害的可能性会更高，因为这为他们提供了更大的访问权限。因此，根用户密钥漏洞的严重性更高。

严重性未考虑底层资源的重要程度。严重性是指与调查发现关联的资源的重要性级别。例如，与关键任务应用程序关联的资源比与非生产测试关联的资源更为重要。要获取资源重要性信息，请使用 AWS 安全调查结果格式 (ASFF) 的Criticality字段。

下表将漏洞利用的难度和受损的可能性映射到安全标签。

	极有可能受损	可能受损	不太可能受损	受损的可能性极小
非常容易被利用	重大	重大	高	中
有点容易被利用	重大	高	中	中
有点难以利用	高	中	中	低
很难被利用	中	中	低	低

严重性定义

严重性标签的定义如下：

严重——应立即修复问题以避免问题升级。

例如，开放的 S3 存储桶被视为具有“严重”严重性的结果。由于许多威胁行为者会扫描开放的 S3 存储桶，因此暴露的 S3 存储桶中的数据很可能会被其他人发现和访问。

一般而言，公开访问的资源被视为关键的安全问题。您应该以最紧迫的态度对待关键结果。您还应该考虑资源的重要程度。

高——该问题必须作为近期优先事项予以解决。

例如，如果默认 VPC 安全组对入站和出站流量开放，则其被视为高严重性。使用这种方法，威胁行为者很容易入侵 VPC。一旦资源进入 VPC，威胁行为者也有可能破坏或泄露资源。

Security Hub CSPM 建议您将高严重性发现视为近期优先事项。您应该立即采取补救措施。您还应该考虑资源的重要程度。

中度——该问题应作为中期优先事项加以解决。

例如，对传输中数据缺乏加密被认为是中等严重性的调查发现。它需要复杂的 man-in-the-middle攻击才能利用这个弱点。换句话说，这有点困难。如果威胁情景成功，某些数据可能会被泄露。

Security Hub CSPM 建议您尽早调查相关资源。您还应该考虑资源的重要程度。

低——无需针对问题执行任何操作。

例如，未能收集取证信息被视为严重性较低。这种控制可以帮助防止未来的受损，但是缺乏取证并不能直接导致受损。

您无需对低严重性结果立即采取操作，但是当您将这些结果与其他问题关联时，它们可以提供背景信息。

信息——未结果任何配置漏洞。

换言之，状态为 PASSED、WARNING 或 NOT AVAILABLE。

没有建议的操作。信息性结果可帮助客户证明其处于合规状态。

Javascript 在您的浏览器中被禁用或不可用。

要使用 Amazon Web Services 文档，必须启用 Javascript。请参阅浏览器的帮助页面以了解相关说明。

文档惯例

有关运行安全检查的计划

合规性状态和控件状态