ASFF 发现结果格式

Security Hub 会聚合数十个来源的调查结果，而每个来源都有自己的结构。为了让这些结果可以相互比较，它会将所有内容转换为一种架构：AWS Security Finding Format (ASFF)。了解 ASFF 后，无论调查结果来自哪里，您都可以读取、筛选并自动处理它。

ASFF 是一种标准化的 JSON 结构，包含每条调查结果都必须填写的定义字段。由于字段保持一致，您可以编写一套规则、筛选条件或自动化操作，同时适用于 GuardDuty、Macie、Inspector 和合作伙伴的调查结果。

关键字段包括用于唯一标识调查结果的 Id、用于标识生成结果的服务的 ProductArn，以及 AwsAccountId。这些字段可以让您将任何调查结果追溯到其来源账户和服务，这对于多账户聚合至关重要。

Types 字段使用命名空间分类法对调查结果进行分类（例如软件与配置类别或异常行为类别），而 Title 和 Description 则提供易于人类阅读的摘要。三者结合后，分析师可以一眼看出调查结果涉及的内容。

ASFF 将严重性标准化为一致的结构，其中包含标准化分数和标签（例如 INFORMATIONAL、LOW、MEDIUM、HIGH、CRITICAL）。由于每个来源都以相同方式表示严重性，因此您可以公平地比较原本使用不同等级的服务，并确定处理优先级。

Resources 数组列出受影响的资源及其 ARN、类型和详细信息。通过它，您可以准确了解调查结果涉及哪些资源，从而将修复工作路由到正确的资源，并了解影响范围。

ASFF 使用工作流程状态（NEW、NOTIFIED、RESOLVED、SUPPRESSED）和RecordState（ACTIVE 或 ARCHIVED）跟踪生命周期。分析人员处理调查结果时会更新工作流程状态，因此队列能够反映哪些事项仍需关注、哪些事项已经完成。

对于基于控制措施的调查结果，ASFF 包含一个合规字段，用于报告某项标准的 PASSED、FAILED 或 WARNING 状态。这样，标准检查结果就能以与威胁调查结果相同的格式呈现，从而在同一个架构中统一安全态势数据和威胁数据。

由于每个调查结果都采用这一架构，您可以构建基于 ASFF 字段（例如 Severity.Label 或 Resources.Type）进行匹配的EventBridge 规则和 Lambda 函数。同一个自动化流程可以响应来自多个来源的调查结果，这正是标准化的意义所在。

由于 ASFF 字段已标准化，您可以基于这些字段构建精确的筛选条件和分析视图：只显示 HIGH 和 CRITICAL 调查结果、某个指定账户的调查结果，或某种资源类型的调查结果。同样的字段也用于驱动 EventBridge 事件模式。掌握每个信息分别存储在哪个 ASFF 字段中，您就能按照调查需要准确切分调查结果流。

BatchImportFindings 用于注入新的调查结果，而 BatchUpdateFindings 允许您更改调查结果的工作流程状态、严重性或备注，但只能更改特定字段，并且只能由拥有该调查结果的账户执行，不能更改来源产品的字段。这种分离既保证了源数据的可信度，又允许分析人员管理分诊状态；这是考试中偶尔会考查的细节。

回顾 ASFF 的用途。

ASFF 是 Security Hub 针对所有调查结果使用的标准化 JSON 架构。关键字段包括 Id、ProductArn、AwsAccountId、Types、标准化的严重性（标签和分数）、资源（ARN）、工作流程/RecordState 生命周期以及合规状态。共享架构支持一致的筛选和由 EventBridge 驱动的自动化，您还可以通过 BatchImportFindings 导入自定义调查结果。