AWS Audit Manager 常见问题

框架可以是预构建的和/或客户定义的控件的集合。这些控件根据指定的合规性或行业标准（如 PCI DSS、HIPAA、GDPR 或内部风险治理指导原则）的要求组织和分组。

控件是一种说明性的描述，它解释了如何实施一个符合给定规则的程序，例如合规性要求。它提供了一种合理保证，确保您的组织使用的资源按照预期运行，确保数据可靠，且您的组织符合适用的法律和法规。

AWS Audit Manager 使您可以定义自己的控件，以从特定数据来源中收集证据，从而帮助您满足独特的合规性要求。

一个通用的控件，用于收集可以支持一系列重叠合规义务的证据。每个通用控件都包含一个或多个核心控件，这些控件从一组预定义的 AWS 托管数据来源中收集证据。当法规和标准发生变化以及发现新的数据来源时，AWS 会为您更新这些基础数据来源。

AWS Audit Manager 评测是 AWS Audit Manager 框架的一种实施。将框架用作起点，您可以创建评测并定义您想要包含在审计范围内的 AWS 账户。创建评测后，AWS Audit Manager 开始根据框架中定义的控件自动评估您的 AWS 账户和服务中的资源。接下来，它收集相关证据并将证据转换为方便审计员查看的格式，然后再将证据附加到您的评估中的控件中。

资源评估指的是收集、存储和管理证据的过程，您可以用此过程评估风险以及是否符合行业标准和法规。当您定义并启动基于评估框架的评估时，Audit Manager 将对每项单独的资源执行资源评估，例如您的 Amazon EC2 实例、Amazon RDS 实例、Amazon S3 存储桶或 Amazon VPC 子网。

证据是记录，其中包含证明符合控件规定的要求所需的信息。举例来说，证据可以是用户触发的更改活动，或系统配置快照。

评估报告是 AWS Audit Manager 评估生成的最终文件。该报告总结了为您的审计而收集的相关证据。报告与相关证据文件夹链接，根据您的评估中指定的控件进行命名和整理。

要开始使用，您可以在 AWS 管理控制台、AWS CLI 中或通过 API 设置 AWS Audit Manager。AWS Audit Manager 文档包含入门教程，此教程提供了 AWS Audit Manager 的动手实践简介。在此教程中，您可以使用标准的框架创建评估，并开始证据的自动收集。

是，AWS Audit Manager 通过与 AWS Organizations 的集成支持多个账户。AWS Audit Manager 和 AWS Organizations 集成可使您在多个账户上运行 AWS Audit Manager 评估，并将证据整合到委派的管理员账户中。

从框架启动评测时，您可以通过选择 AWS 账户来指定范围。您使用的框架定义 AWS Audit Manager 从中收集证据的 AWS 服务。 

AWS Audit Manager 通过自动收集和整理由每个控制要求定义的证据为您节省时间。使用 Audit Manager，您可以专注于审查相关证据，确保控件按预期运行。在开展审计时，AWS Audit Manager 会帮助您管理利益相关者对您的控件的审核，让您能够创建审计就绪报告，且大幅减少手动操作。例如，通过委托功能，您可以将评估中的控件分配给主题专家进行审查。审查并选择相关证据后，您即已准备好构建一个审计就绪报告，该报告包括一个报告摘要和一组包含详细证据的文件夹。

在 Audit Manager 中，您可以获得评测的摘要视图，您可以随时查看该视图。摘要中包含您的评测详细信息、控件、评测报告、范围中的 AWS 账户、审计拥有者、标签和更改日志。您还可以点击评测内列出的每个控件，以审查和更新与每个控件相关的详细信息，包括审查收集的证据、添加注释、上传人工证据、检查更改日志、更新控制状态或委派给团队成员。

AWS Audit Manager 使您可以将包含控件集合的控件集委派给另一个用户进行审查。委派代表将能够审查证据、添加注释、上传人工证据，并更新控件集中每个控件的控件状态。委派代表可以将审查提交返回给您，这样您就可以检查控件集和相关的评论，并最终完成该控件集的审查。

框架库是一个中心位置，从这个位置，您可以在 AWS Audit Manager 中访问和管理框架。它包含 Audit Manager 预先构建的标准框架目录，如 PCI DSS、CIS 基础知识基准以及 HIPAA 和您定义的自定义框架。可通过两种方法创建自定义框架。您可以制作现有框架的可编辑副本，也可以从头开始创建新框架。创建自定义框架时，您可以从 Audit Manager 控件库中添加控件并以适合您独特要求的方式将控件组织到控件集中。

控件库是一个中心位置，从这个位置，您可以在 AWS Audit Manager 中访问和管理控件。它包含 Audit Manager 预先构建的标准控件目录和您定义的自定义控件。可通过两种方法创建自定义控件。您可以制作现有框架的可编辑副本，也可以从头开始创建新控件。创建自定义控件时，您可以指定控件名称、描述、测试信息和您希望 Audit Manager 从其中自动收集证据的证据来源。您还可以创建一个自定义控件，该控件只要求通过人工证据来支持那些需要非系统证据的控件，如人员组织和操作过程。

AWS Audit Manager 可以自动从四种数据来源类型收集证据：

• AWS CloudTrail – 从 CloudTrail 日志中捕获用户活动，例如 S3 存储桶加密策略更改。结果将作为用户活动证据导入。
• AWS Security Hub – 从 Security Hub 收集调查发现，例如与 PCI DSS 控件相关的 Security Hub 检查。结果将作为合规性检查证据导入。
• AWS Config – 直接从 AWS Config 收集规则评估，例如与 HIPAA 控件相关的 AWS Config 规则。结果将作为合规性检查证据导入。
• AWS API 调用 – 捕获资源快照，例如 EC2 实例配置。响应将作为配置数据证据导入。

在 Audit Manager 中配置自定义控件时，我们建议您选择 AWS 托管的来源。这些是预定义的数据来源分组，代表通用控件或核心控件。每当 AWS 托管的来源更新时，相同的更新都会自动应用于使用这些来源的所有自定义控件。

或者，您也可以选择客户管理的来源并定义自己的数据来源。这使您可以灵活地添加手动证据，或从业务特定资源（例如自定义 AWS Config 规则）收集自动证据。

在 AWS Audit Manager 中，证据收集的频率取决于证据的类型，说明如下：

• 配置数据证据类型（包括资源配置的快照）按每天、每周或每月的频率从 AWS 服务（例如 EC2、S3、RDS、VPC 等）中直接捕获。您可以在 Audit Manager 中配置此频率。
• 用户活动证据类型在资源配置更改触发时从 AWS CloudTrail 日志中捕获。
• 合规性检查证据类型（包括 AWS Security Hub 和/或 AWS Config 的结果）按这两个服务中定义的频率捕获。可以定期捕获，也可以在资源配置更改触发时捕获。

AWS Security Hub 基于 AWS 最佳实践和行业标准使用自动安全检查来监控您的环境，以便您可以对发现的问题采取纠正措施。AWS Audit Manager 为支持的合规性标准（如 CIS 基础知识基准和 PCI）导入 Security Hub 发现结果。AWS Audit Manager 自动执行附加分析并向收集的 Security Hub 结果中添加注释，从而为 AWS Security Hub 监控的 AWS 服务生成证据

借助 AWS CloudTrail，您可以记录日志、持续监控并保留与整个 AWS 基础设施中的操作相关的账户活动。Audit Manager 直接从 CloudTrail 中收集日志数据并执行附加分析。Audit Manager 对数据进行注释，为超过 175 个将日志提供给 AWS CloudTrail 的 AWS 服务自动生成证据。

AWS Config 可以持续监控和记录您的 AWS 资源配置，并让您可以依据配置需求自动评估记录的配置。AWS Audit Manager 从 AWS Config 中收集日志数据并执行附加分析。Audit Manager 对该数据进行注释，为 AWS Config 监控的 AWS 服务自动生成证据。

AWS Control Tower 基于 AWS 与数千家迁移到云的企业合作的经验所建立的最佳实践提供最简单的方法来设置和管理一个新的、安全的、多账户 AWS 环境。AWS Audit Manager 从 Control Tower 中导入护栏日志，并执行附加分析。Audit Manager 对该数据进行注释，为 Control Tower 防护机制日志所跟踪的 AWS 服务自动生成证据。

Amazon EventBridge 是一项无服务器服务，它使用事件将应用程序组件连接在一起，使您可以更轻松地构建可扩展的事件驱动型应用程序。您可以使用 EventBridge 规则来检测 Audit Manager 事件并作出反应，如创建、编辑或删除评估时的状态更改通知。您还可以使用 EventBridge 规则来检测任何委派工作流或评测控制审查状态的变更。

Amazon Bedrock 是一项完全托管的服务，可通过 API 提供来自 Amazon 和其他领先 AI 公司的基础模型（FM），使您能够使用组织数据私下调整现有的大型语言模型（LLM）。AWS Audit Manager 为 Amazon Bedrock 客户提供生成式人工智能最佳实践框架。您可以通过 AWS Audit Manager 在运行生成式人工智能模型和应用程序的账户中部署此最佳实践框架，以收集有助于监控预期策略合规性的证据。

AWS Audit Manager 已与 AWS 合作伙伴兼监管、风险与合规性（GRC）解决方案提供商 MetricStream 集成。这种集成允许您将 AWS 使用情况和配置的证据直接从 Audit Manager 导入到您的 MetricStream CyberGRC 中。要了解更多信息，请访问 Audit Manager 文档。