洞察与自定义发现结果操作

即使调查结果已经标准化，长长的列表仍然难以采取行动。Security Hub 提供了两个工具，将列表转化为重点行动：用于归类相关调查结果的分析视图，以及允许您根据选定调查结果触发工作流程的自定义操作。

Security Hub 的分析视图是一个保存的调查结果分组，由筛选条件和“分组依据”属性收集调查结果。例如，分析视图可以按资源归类活动中的调查结果，从而显示哪些资源存在最多问题。分析视图能够揭示单个调查结果所隐藏的模式。

Security Hub 开箱即用地提供托管分析视图，例如“调查结果最多的 AWS 资源”或“具有公共访问权限的 S3 存储桶”。这些预先构建的分组无需您进行任何定义，即可立即发挥作用并突出显示风险热点。

您还可以根据自己的关注点构建自定义分析视图，使用任意 ASFF 字段进行筛选，并按另一个字段分组。例如，团队可以创建一个按账户归类高严重性调查结果的分析视图，将注意力准确集中到风险所在的位置。

分组可以将噪声转化为优先级。您不必滚动浏览数千条调查结果，分析视图会告诉您“这五个资源占据了大部分风险”。这样可以推动团队优先修复影响最大的事项，支持考试所重视的优先级排序。

Security Hub 中的自定义操作是一种附加到调查结果上的命名触发器。分析人员选择调查结果并选择该操作后，Security Hub 会向 EventBridge 发出事件。这是将人工分诊连接到自动化响应的桥梁。

每个自定义操作都有自己的 ARN，并会生成一个携带所选调查结果的 EventBridge 事件。随后，EventBridge 规则会将该事件路由到目标，例如 Lambda 函数、Step Functions 工作流程或工单系统集成，以执行修复或升级处理。

自定义操作支持由分析人员发起的响应：由人工进行审核，然后单击按钮执行修复。若要实现完全自动化的响应，则应直接使用 EventBridge 规则匹配调查结果，使操作无需人工参与即可执行。了解这两种模式有助于您选择合适的方案。

Security Hub 还提供自动化规则，可以自动更新调查结果，例如在满足条件时提高严重性或更改工作流程状态。这些规则会在调查结果到达分析人员或下游自动化流程之前，先对调查结果流进行调整。

当调查结果匹配 ASFF 字段中定义的条件时，自动化规则会执行操作，然后应用设置严重性、更新工作流程状态或添加备注等更改。例如，某条规则可以自动抑制来自已知测试账户的低严重性调查结果。这样可以在分析人员或下游自动化流程看到调查结果之前，以一致的方式调整调查结果流。

要在两种模式之间进行选择，请先考虑是否应由人工进行审核。自定义操作适合由分析人员发起、需要较多判断的响应；直接 EventBridge 规则适合明确且数量庞大的调查结果，可以立即执行修复而无需等待。许多团队会结合使用两种模式：自动修复明显的问题，并通过自定义操作将模糊的问题转交分析人员。

将调查结果与响应关联起来。

Security Hub 的分析视图根据筛选条件和属性（托管或自定义）对调查结果进行分组，从而揭示风险集中在哪里。自定义操作允许分析人员将选定的调查结果发送到 EventBridge 进行响应，而直接 EventBridge 规则支持完全自动化的修复，自动化规则则会自动更新调查结果。它们共同将汇总的调查结果转化为工作流程。