安全标准与合规评分

聚合调查结果只是 Security Hub 价值的一半。另一半是持续根据最佳实践标准检查您的账户并为您提供评分。这不仅能告诉您遭遇了什么攻击，还能告诉您配置本身的暴露程度。

安全标准是一组经过整理的自动化控制措施，用于根据最佳实践检查资源。Security Hub 会按计划运行这些检查，并将每项控制措施报告为通过或失败，把“我们的系统安全吗？”这类模糊问题转化为具体且可衡量的结果。

Security Hub 提供多种标准，包括 AWS Foundational Security Best Practices (FSBP)、互联网安全中心 (CIS) AWS 基础基准，以及符合 PCI DSS 和 NIST 的标准。每种标准面向不同对象，从通用加固到特定合规制度都有覆盖。

FSBP 标准是 AWS 自有的一套广泛检查，涵盖许多服务，例如“S3 存储桶应阻止公开访问”或“IAM 根用户应启用 MFA”。它是大多数账户推荐的起点，因为它全面体现了 AWS 当前的指导方针。

CIS AWS Foundations Benchmark 是由互联网安全中心维护的行业标准加固指南。在 Security Hub 中启用它后，系统会根据广为认可的共识控制措施检查您的账户；当审计人员特别要求符合 CIS 时，这非常有用。

每项标准都由单独的控制措施组成，每项控制措施都会报告一种状态：通过、失败或不可用。失败的控制措施会生成可以修复的调查结果。您可以禁用不适用于环境的控制措施，避免它们影响结果。

Security Hub 会计算安全评分，即已通过控制措施占已启用控制措施的百分比。评分越高，表示安全状况越好。评分为管理层提供了一个可以长期跟踪的简单指标，而底层失败的控制措施则为工程师提供了待办事项列表。

不同标准之间有许多重复的控制措施。Security Hub 可以整合控制措施调查结果，避免同一个底层问题被多次报告。即使多个标准检查同一事项，也能保持评分和调查结果列表整洁。

失败的控制措施就是需要修复的调查结果，通常会附带记录在案的修复步骤。您可以通过 EventBridge 将它们用于自动修复，或发送到工单系统。随着控制措施从失败变为通过，评分也会提高，从而体现可衡量的进展。

并非每项控制措施都适用于每个账户。您可以禁用不适用的单项控制措施，有些控制措施还接受参数，以匹配您的策略，例如所需的最小密码长度。调整控制措施可以让安全评分保持实际意义，因为无关检查拉低的评分会误导您，而不是指导修复。

一个重要的依赖关系是：某些 Security Hub 控制措施依赖 AWS Config 记录资源配置。如果 Config 没有记录相关资源类型，这些控制措施就无法评估，并且可能显示为无数据。因此，完整的安全状况管理方案应同时启用 Config 和 Security Hub。考试可能会隐藏这一依赖关系，要求您了解 Config 是许多控制措施检查的基础。

将标准与需求匹配。

Security Hub 通过运行安全标准来衡量安全状况。这些标准由自动化控制措施组成，包括 AWS FSBP、CIS Benchmark 以及符合 PCI DSS/NIST 的标准。每项控制措施都会报告通过或失败，并生成安全评分（通过的百分比）。请禁用不相关的控制措施，整合重复的控制措施，并修复失败项，以提高评分。