AWS Security Hub Filters

AWS Security Hub 是一种安全态势管理（Security Posture Management, SPM）服务，它聚合来自 AWS 账户、区域以及集成的第三方工具的安全警报和合规性状态。然而，大量的安全发现（Findings）可能会让安全团队难以识别并优先处理最关键的问题。这就是 AWS Security Hub Filters 发挥关键作用的地方。过滤器允许您根据特定标准自定义显示在 Security Hub 控制台和通过 API 访问的 Findings，从而简化安全分析和响应流程。本文将详细介绍 Security Hub Filters 的概念、类型、配置方法以及最佳实践，帮助初学者理解并有效利用这一功能。

什么是 AWS Security Hub Filters?

AWS Security Hub Filters 是一种机制，用于缩小 Security Hub 中显示的 Findings 范围。默认情况下，Security Hub 会收集来自各种来源的所有 Findings。这可能包括来自 AWS Config 的合规性违规、来自 Amazon GuardDuty 的威胁检测、来自 Amazon Inspector 的漏洞评估，以及来自集成第三方安全工具的 Findings。

如果没有过滤器，安全团队可能会被大量的信息淹没，难以区分关键漏洞和噪音。Filters 允许您基于各种属性，如严重性、资源类型、合规性标准、Findings 状态，甚至自定义字段，来筛选 Findings。

Filters 的类型

Security Hub 提供两种主要的过滤器类型：

自定义过滤器 (Custom Filters): 这些过滤器由您手动创建和配置，以满足特定的安全需求。它们提供了最大的灵活性，允许您定义复杂的筛选条件。
内置过滤器 (Built-in Filters): Security Hub 提供了一些预定义的过滤器，例如 “High Severity Findings” 或 “CIS AWS Foundations Benchmark Findings”。这些过滤器可以作为起点，并根据需要进行修改。

自定义过滤器详解

自定义过滤器是 Security Hub 过滤器的核心。它们允许您根据以下属性创建筛选条件：

严重性 (Severity): 筛选特定严重级别的 Findings，例如 Critical、High、Medium 或 Low。这对于优先处理最严重的漏洞至关重要。
合规性标准 (Compliance Standard): 筛选与特定合规性标准相关的 Findings，例如 PCI DSS、HIPAA 或 SOC 2。
资源类型 (Resource Type): 筛选与特定 AWS 资源相关的 Findings，例如 EC2 实例、S3 存储桶、Lambda 函数等。
Findings 状态 (Finding Status): 筛选具有特定状态的 Findings，例如 New、Resolved、Notified 或 Suppressed。
来源 (Source): 筛选来自特定安全工具的 Findings，例如 GuardDuty、Inspector 或第三方集成。
AWS 账户 (AWS Account): 筛选来自特定 AWS 账户的 Findings。这在多账户环境中非常有用。
AWS 区域 (AWS Region): 筛选来自特定 AWS 区域的 Findings。
命名空间 (Namespace): 用于组织 Findings 的逻辑分组，例如 "IAM", "Network", "Encryption"。
工作负载 (Workload): 用于标识 Findings 所影响的工作负载。
自定义字段 (Custom Fields): 您可以将自定义字段添加到 Findings 中，并使用这些字段进行筛选。这允许您基于特定于您组织的属性来筛选 Findings。

过滤器条件可以组合使用，以创建更复杂的筛选规则。例如，您可以创建一个过滤器，仅显示来自 GuardDuty 的高严重性 EC2 实例 Findings。

配置自定义过滤器

配置自定义过滤器涉及以下步骤：

1. 登录 AWS 管理控制台： 使用具有适当权限的 AWS 账户登录。 2. 导航到 Security Hub： 在控制台中搜索 “Security Hub” 并打开它。 3. 选择 “Filters”： 在 Security Hub 导航栏中，选择 “Filters”。 4. 选择 “Create custom filter”： 单击 “Create custom filter” 按钮。 5. 输入过滤器名称和描述： 为过滤器指定一个有意义的名称和描述，以便于识别和管理。 6. 定义筛选条件： 使用提供的选项定义筛选条件。您可以添加多个条件，并将它们组合使用“AND”和“OR”运算符。 7. 保存过滤器： 单击 “Save” 按钮保存过滤器。

内置过滤器详解

Security Hub 提供了一些预定义的过滤器，可以立即使用。这些过滤器包括：

High Severity Findings: 显示所有严重性为 High 或 Critical 的 Findings。
Critical Severity Findings: 显示所有严重性为 Critical 的 Findings。
CIS AWS Foundations Benchmark Findings: 显示与 CIS AWS Foundations Benchmark 相关的 Findings。
PCI DSS v3.2.1 Findings: 显示与 PCI DSS v3.2.1 相关的 Findings。
Findings from GuardDuty: 显示来自 Amazon GuardDuty 的 Findings。
Findings from Inspector: 显示来自 Amazon Inspector 的 Findings。

您可以根据需要修改内置过滤器，以满足您的特定需求。

过滤器与 Insights 和工作流

Security Hub Filters 可以与 Insights 功能结合使用，以识别安全趋势和模式。例如，您可以创建一个过滤器，仅显示过去一周内发现的高严重性漏洞，然后使用 Insights 来分析这些漏洞的趋势。

Filters 还可以与安全工作流工具集成，例如 Amazon EventBridge，以自动响应特定的 Findings。例如，您可以创建一个过滤器，仅显示来自 GuardDuty 的高严重性 Findings，然后配置 EventBridge 规则，在检测到此类 Findings 时自动发送通知或启动修复操作。

过滤器最佳实践

为了最大程度地利用 Security Hub Filters，请考虑以下最佳实践：

明确定义筛选标准： 在创建过滤器之前，明确定义您需要筛选的 Findings 类型。
使用有意义的过滤器名称和描述： 确保过滤器名称和描述清晰易懂，以便于识别和管理。
定期审查和更新过滤器： 随着您的安全环境的变化，定期审查和更新过滤器，以确保它们仍然有效。
利用自定义字段： 使用自定义字段来增强筛选能力，并基于特定于您组织的属性来筛选 Findings。
结合使用 Filters 和 Insights： 将 Filters 与 Insights 结合使用，以识别安全趋势和模式。
与安全工作流集成： 将 Filters 与安全工作流工具集成，以自动响应 Findings。
优先处理关键 Findings： 使用 Filters 优先处理最关键的漏洞，并确保及时采取修复措施。
使用多账户环境中的过滤器： 在多账户环境中，使用过滤器来集中管理和分析 Findings。
考虑利用自动化： 使用 AWS CloudFormation 或其他基础设施即代码 (IaC) 工具来自动化过滤器创建和配置。

过滤器与成本管理

虽然 Security Hub 本身的价格相对较低，但如果未正确管理 Findings，可能会导致不必要的调查和响应成本。通过使用 Filters 缩小 Findings 的范围，您可以减少安全团队需要花费的时间和精力，从而降低整体安全成本。

过滤器与风险评估

Security Hub Filters 也是风险评估过程的重要组成部分。通过筛选 Findings，您可以识别组织面临的主要安全风险，并制定相应的缓解计划。例如，如果您的过滤器显示大量与 Web 应用程序漏洞相关的 Findings，您可能需要加强 Web 应用程序的安全措施。

过滤器与合规性报告

Security Hub Filters 可以用于生成合规性报告，以证明您的组织符合特定的合规性标准。通过筛选与特定合规性标准相关的 Findings，您可以轻松地生成报告，并向审核员展示您的安全态势。

过滤器与第三方集成

Security Hub 可以与各种第三方安全工具集成，并将这些工具的 Findings 聚合到 Security Hub 中。通过使用 Filters，您可以筛选来自不同来源的 Findings，并将它们统一进行分析和管理。

过滤器示例

以下是一些 Security Hub 过滤器示例：

示例 1： 显示所有来自 GuardDuty 的高严重性 EC2 实例 Findings。

   *  严重性：High 或 Critical
   *  来源：GuardDuty
   *  资源类型：EC2

示例 2： 显示所有与 PCI DSS v3.2.1 相关的 Findings。

   *  合规性标准：PCI DSS v3.2.1

示例 3： 显示所有状态为 New 的 Findings。

   *  Findings 状态：New

总结

AWS Security Hub Filters 是一个强大的工具，可以帮助您管理和分析安全 Findings。通过理解 Filters 的类型、配置方法和最佳实践，您可以显著提高安全团队的效率，并降低安全风险。记住，有效的过滤器策略是构建强大安全态势的关键组成部分。

Amazon GuardDuty Amazon Inspector AWS Config PCI DSS HIPAA SOC 2 AWS 资源 Amazon EventBridge AWS CloudFormation CIS AWS Foundations Benchmark 安全态势管理漏洞评估威胁检测合规性检查风险评估安全工作流事件响应严重性 (Severity) Findings 状态命名空间 (Security Hub) 自定义字段 (Security Hub) 技术分析 (安全) 成交量分析 (安全) 基础设施即代码 AWS Identity and Access Management (IAM) 网络安全数据加密入侵检测系统防火墙安全信息和事件管理 (SIEM) 渗透测试安全审计零信任安全模型

立即开始交易

注册 IQ Option （最低存款 $10）开设 Pocket Option 账户（最低存款 $5）

加入我们的社区

订阅我们的 Telegram 频道 @strategybin 获取： ✓ 每日交易信号 ✓ 独家策略分析 ✓ 市场趋势警报 ✓ 新手教育资源

AWS Security Hub Filters

Contents