Security Hub 汇总的内容

随着您增加安全服务，警报会堆积在许多控制台中。AWS Security Hub 通过充当集中聚合器解决了这一问题：它会将许多 AWS 安全服务和合作伙伴工具的调查结果收集到一个视图中。您无需逐一检查各项服务，而是可以在一个位置完成分类处理。

Security Hub 会接收来自 GuardDuty、Macie、Inspector、IAM Access Analyzer 和 Firewall Manager 等服务的调查结果，以及第三方产品的调查结果。它还会运行自己的自动化安全检查。最终，您的账户中所有问题都会汇总为一个统一的待处理列表。

不同服务描述调查结果的方式各不相同。Security Hub 会将它们全部转换为一种标准结构，即 AWS Security Finding Format (ASFF)，因此无论来源如何，每条调查结果的外观都保持一致。正是这种标准化，让统一视图成为可能。

Security Hub 不只是收集器；它还会使用自动化检查，主动根据安全标准评估您的账户。这些检查会针对配置错误生成自己的调查结果，让您可以在一个服务中同时获得传入的警报和持续的安全状况评估。

由于调查结果具有区域性，Security Hub 提供跨区域聚合功能，可将多个区域的调查结果汇总到一个聚合区域。这样，安全团队就能真正从一个视图查看整个资源范围，而不是被分散在各区域的独立视图中。

与 GuardDuty 一样，Security Hub 支持委派管理员和 AWS Organizations 集成。一个安全账户可以聚合每个成员账户的调查结果，并为新账户自动启用功能。跨区域聚合与此结合后，就能实现组织范围的可见性。

通过去重和标准化，Security Hub 可以减少噪声，帮助分析师看清真实情况。相关调查结果可以分组，统一的严重性也能让来自不同来源的优先级排序更加公平。目标是获得更少、更清晰、更具可操作性的警报。

Security Hub 与 EventBridge 集成，因此聚合后的调查结果可以触发自动化响应，或转发到工单和聊天工具。这使集中式中心成为响应工作流的启动点，而不仅仅是一个仪表板。

可以将流程理解为：检测、聚合、调查、响应。GuardDuty 和其他服务负责检测；Security Hub 负责聚合和评分；Detective 负责调查；EventBridge 和 Lambda 负责响应。Security Hub 是连接检测与行动的中枢。

Security Hub 聚合的调查结果涵盖多个类别：来自 GuardDuty 的威胁检测、来自 Macie 的敏感数据发现、来自 Inspector 的漏洞调查结果，以及来自 IAM Access Analyzer 的访问调查结果。将威胁、漏洞、数据风险和访问风险集中到一个位置，正是 Security Hub 成为安全状况统一视图的原因。

要收集某项服务的调查结果，该服务必须与 Security Hub启用并完成集成。许多 AWS 来源会在您启用 Security Hub 后自动集成；合作伙伴产品则通过集成页面完成集成。一个常见问题是期望从从未启用的来源获得调查结果，因此确认活动集成是任何聚合设置的一部分。

选择聚合服务。

Security Hub 会将来自 GuardDuty、Macie、Inspector、Access Analyzer 和合作伙伴的调查结果集中并标准化为 ASFF 格式，同时根据标准运行安全状况检查。它支持跨区域和跨账户（委派管理员）聚合，并将结果传送到 EventBridge 以进行响应，充当安全调查结果的统一视图。