implementing-aws-security-hub

# 实施 AWS Security Hub

## 适用场景

- 在多个 AWS 账户之间建立集中式安全发现结果仪表盘时
- 针对 CIS、PCI-DSS、NIST 或 AWS 基础安全最佳实践启用自动化合规检查时
- 集成来自 GuardDuty、Inspector、Macie 和第三方安全工具的发现结果时
- 为频繁出现的安全错误配置构建自动修复工作流时
- 为需要持续态势监控的审计人员准备合规证据时

**不适用于**：实时威胁检测（参见 detecting-cloud-threats-with-guardduty）、Azure 合规监控（参见 securing-azure-with-microsoft-defender），或对容器镜像进行深度漏洞扫描（参见 securing-container-registry）。

## 前置条件

- 具有指定安全管理员账户的 AWS Organization
- 在所有目标账户和区域启用 AWS Config
- 已激活 GuardDuty、Inspector 和 Macie 以集成发现结果
- 管理员账户具备 `securityhub:*` 和 `config:*` IAM 权限

## 工作流程

### 步骤 1：启用 Security Hub 并配置安全标准

在委派管理员账户中激活 Security Hub 并启用安全标准。AWS Security Hub CSPM（云安全态势管理）支持 CIS AWS Foundations Benchmark v5.0、AWS 基础安全最佳实践（FSBP）、PCI DSS v3.2.1 和 NIST SP 800-53。

```bash
# 启用 Security Hub 并加载默认标准
aws securityhub enable-security-hub \
  --enable-default-standards \
  --tags '{"Environment":"production","ManagedBy":"security-team"}'

# 启用 CIS AWS Foundations Benchmark v5.0
aws securityhub batch-enable-standards \
  --standards-subscription-requests '[
    {"StandardsArn": "arn:aws:securityhub:::ruleset/cis-aws-foundations-benchmark/v/5.0.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/aws-foundational-security-best-practices/v/1.0.0"},
    {"StandardsArn": "arn:aws:securityhub:us-east-1::standards/pci-dss/v/3.2.1"}
  ]'

# 验证已启用的标准
aws securityhub get-enabled-standards \
  --query 'StandardsSubscriptions[*].[StandardsArn,StandardsStatus]' --output table
```

### 步骤 2：配置多账户聚合

指定 Security Hub 管理员并自动注册所有组织成员账户。配置跨区域聚合，将发现结果整合到单一区域。

```bash
# 指定委派管理员
aws securityhub enable-organization-admin-account \
  --admin-account-id 111122223333

# 为所有组织成员自动启用
aws securityhub update-organization-configuration \
  --auto-enable \
  --organization-configuration '{"ConfigurationType": "CENTRAL"}'

# 启用跨区域聚合
aws securityhub create-finding-aggregator \
  --region-linking-mode ALL_REGIONS
```

### 步骤 3：集成安全服务和第三方工具

配置产品集成，接收来自 AWS 服务和合作伙伴安全工具的发现结果。将第三方发现结果映射到 AWS Security Finding Format（ASFF）。

```bash
# 列出可用的产品集成
aws securityhub describe-products \
  --query 'Products[*].[ProductName,CompanyName,ProductSubscriptionResourcePolicy]' --output table

# 启用特定集成
aws securityhub enable-import-findings-for-product \
  --product-arn "arn:aws:securityhub:us-east-1::product/aws/guardduty"

aws securityhub enable-import-findings-for-product \
  --product-arn "arn:aws:securityhub:us-east-1::product/aws/inspector"

# 使用 ASFF 格式导入自定义发现结果
aws securityhub batch-import-findings --findings '[{
  "SchemaVersion": "2018-10-08",
  "Id": "custom-finding-001",
  "ProductArn": "arn:aws:securityhub:us-east-1:123456789012:product/123456789012/default",
  "GeneratorId": "custom-scanner",
  "AwsAccountId": "123456789012",
  "Types": ["Software and Configuration Checks/Vulnerabilities/CVE"],
  "Title": "生产 ALB 后端存在未修补的 OpenSSL 漏洞",
  "Description": "后端实例检测到 CVE-2024-12345",
  "Severity": {"Label": "HIGH"},
  "Resources": [{"Type": "AwsEc2Instance", "Id": "arn:aws:ec2:us-east-1:123456789012:instance/i-0abc123"}]
}]'
```

### 步骤 4：构建自动修复

创建与 EventBridge 规则和 Lambda 函数关联的 Security Hub 自定义操作，实现对常见发现结果的一键式或全自动修复。

```bash
# 创建修复自定义操作
aws securityhub create-action-target \
  --name "IsolateInstance" \
  --description "通过替换安全组隔离 EC2 实例" \
  --id "IsolateInstance"

# 针对特定控制项自动修复的 EventBridge 规则
aws events put-rule \
  --name SecurityHubAutoRemediate \
  --event-pattern '{
    "source": ["aws.securityhub"],
    "detail-type": ["Security Hub Findings - Imported"],
    "detail": {
      "findings": {
        "Compliance": {"Status": ["FAILED"]},
        "Severity": {"Label": ["CRITICAL", "HIGH"]},
        "GeneratorId": ["aws-foundational-security-best-practices/v/1.0.0/S3.1"]
      }
    }
  }'
```

### 步骤 5：监控合规评分并生成报告

跟踪各标准的安全评分，监控合规漂移趋势，并生成用于审计证据的报告。

```bash
# 获取某个标准的安全评分
aws securityhub get-security-control-definition \
  --security-control-id "S3.1"

# 列出所有失败控制项及其数量
aws securityhub get-findings \
  --filters '{
    "ComplianceStatus": [{"Value": "FAILED", "Comparison": "EQUALS"}],
    "RecordState": [{"Value": "ACTIVE", "Comparison": "EQUALS"}]
  }' \
  --sort-criteria '{"Field": "SeverityLabel", "SortOrder": "desc"}' \
  --max-items 50
```

## 核心概念

| 术语 | 定义 |
|------|------|
| 安全标准（Security Standard） | 映射到 CIS、PCI-DSS、NIST 800-53 和 AWS 最佳实践等合规框架的预打包控制集 |
| 安全控制（Security Control） | 针对特定安全要求评估 AWS 资源配置的单个自动化检查项 |
| ASFF | AWS Security Finding Format，用于规范化所有集成安全产品发现结果的标准化 JSON 模式 |
| 合规评分（Compliance Score） | 给定安全标准中处于通过状态的控制项百分比，按账户计算并在组织层面聚合 |
| 发现结果聚合器（Finding Aggregator） | 将所有已启用区域的发现结果整合到单一管理员区域的跨区域机制 |
| 自定义操作（Custom Action） | 可从 Security Hub 控制台触发的用户定义操作，用于调用 EventBridge 规则进行手动或自动响应 |

## 工具与系统

- **AWS Security Hub CSPM**：用于自动化安全态势检查和发现结果聚合的核心平台
- **AWS Config**：Security Hub 依赖的用于资源评估的底层配置记录器
- **Amazon EventBridge**：将 Security Hub 发现结果连接到自动修复工作流的事件路由服务
- **AWS Systems Manager**：Security Hub 可调用的自动化文档，用于修复常见错误配置
- **AWS Audit Manager**：使用 Security Hub 发现结果作为证据生成审计就绪报告

## 常见场景

### 场景：50 个账户中的 CIS 控制项失败

**场景背景**：一家企业启用 CIS AWS Foundations Benchmark v5.0 后，在 50 个账户中发现 340 个失败的控制项，主要集中在 IAM 密码策略、CloudTrail 配置和 VPC 流日志启用方面。

**方法**：
1. 按控制项 ID 导出所有 FAILED 发现结果，识别最普遍的问题
2. 优先处理影响最多账户的严重和高严重性控制项
3. 为出现频率最高的前 10 个失败项创建 Systems Manager Automation 文档
4. 通过 EventBridge 为 S3.1（阻止公开访问）和 CloudTrail.1（启用多区域跟踪）等控制项部署自动修复
5. 安排每周合规评分审查，并在 90 天修复窗口内跟踪改进情况

**常见陷阱**：一次性为所有控制项启用自动修复可能会破坏合法需要公开 S3 访问或特定网络配置的生产工作负载。务必先在预发布账户中测试修复操作。

## 输出格式

```
AWS Security Hub 合规报告
====================================
组织: acme-corp
管理员账户: 111122223333
报告日期: 2025-02-23
已启用标准: CIS v5.0, AWS FSBP v1.0, PCI DSS v3.2.1

合规评分:
  CIS AWS Foundations Benchmark v5.0: 78%
  AWS 基础安全最佳实践: 85%
  PCI DSS v3.2.1: 72%

失败控制项 TOP 排行（按账户数量）:
  [S3.1]   已启用阻止公开访问设置      - 50 个账户中 23 个失败
  [CT.1]   已启用 CloudTrail 多区域    - 50 个账户中 12 个失败
  [IAM.4]  Root 账户无访问密钥         - 50 个账户中  3 个失败
  [EC2.19] 安全组限制未受限端口        - 50 个账户中 31 个失败
  [RDS.3]  已启用 RDS 静态加密         - 50 个账户中 18 个失败

发现结果摘要:
  活跃发现结果总计: 1,247
  严重: 34 | 高: 189 | 中: 567 | 低: 457
  本月自动修复: 89
  已抑制: 23
```