AWS Security Hub 自动响应和修复

AWS Security Hub 自动响应和修复解决方案包含以下主要工作流程：检测、提取、修复和日志记录。

检测：AWS Security Hub 让客户可以全面查看其 AWS 安全状况。该服务可以帮助客户根据行业标准和最佳实践测量其环境。它的工作原理是，从 AWS Config、Amazon Guard Duty 和 AWS Firewall Manager 等其他 AWS 服务中收集事件和数据。然后根据 CIS AWS 基金会基准等安全标准分析这些事件和数据。异常情况在 AWS Security Hub 控制台中被认定为发现结果。新的发现结果作为 Amazon CloudWatch Events 发送。

提取：AWS Security Hub 自定义操作和 Amazon CloudWatch 事件规则可启动 Security Hub 自动响应和修复手册，以解决发现的问题。该解决方案为每个支持的控制部署两个 CloudWatch 事件规则：一个规则用于匹配自定义操作事件（用户发起的修复），一个规则（默认情况下禁用）用于匹配实时发现事件。客户可以使用 Security Hub Custom Action（Security Hub 自定义操作）菜单启动自动化修复，或者可以在非生产环境中进行细心测试之后，启用自动触发来进行自动修复。此决定可以根据修复作出——没有必要对所有修复启用自动触发器。

修复：通过跨账户 AWS Identity and Access Management (IAM) 角色，自动修复可使用 AWS API 来执行修复发现问题所需的任务。此解决方案中的所有手册均可调用 AWS Lambda 函数。有些 Lambda 函数可直接执行修复。另一些函数使用 AWS Systems Manager Automation 文档。

日志记录：手册将结果以日志形式记录到该解决方案的 AWS CloudWatch 日志组中、将通知发送至 Amazon Simple Notification Service (Amazon SNS) 主题并更新 Security Hub 发现结果。所采取操作的审计跟踪保留在发现注释中。在 Security Hub 控制面板上，发现工作流程的状态由 Security Hub 控制面板上的 NEW（新）变为 NOTIFIED（已通知）或 RESOLVED（已解决）。安全发现注释将被更新，以反映所执行的修复。