如何利用AWS Security Hub暴露发现优先处理安全风险

在re:Inforce 2025上，AWS推出了增强版AWS Security Hub，彻底改变了组织优先处理最关键安全问题并大规模响应以保护云环境的方式。本文将讨论如何利用Security Hub通过暴露发现优先处理这些问题。增强版Security Hub现在使用高级分析自动关联、丰富和优先处理云环境中的安全信号。Security Hub无缝集成Amazon GuardDuty、Amazon Inspector、Amazon Macie和AWS Security Hub云安全态势管理（CSPM，前身为AWS Security Hub）。通过这些集成，它提供全面的威胁检测和漏洞评估。这种智能集成帮助组织快速识别关键安全问题，从潜在的凭证泄露到意外的资源暴露，使安全团队能够专注于最重要的事项。

什么是Security Hub？

Security Hub通过统一的云安全解决方案提供三个关键安全功能：

• 通过集中管理和持续监控提供组织范围内的可见性。
• 丰富来自Amazon Inspector和AWS Security Hub CSPM等服务的安全信号，以发现特定于环境的主动风险，从而自信地确定优先级并简化响应。
• 通过关联来自Amazon Inspector、AWS Security Hub CSPM、Amazon Macie和其他AWS服务的发现，提供集成风险分析，帮助识别潜在攻击路径、发现可利用漏洞和错误配置，并提供可操作的修复指导。

客户最关心的问题是：我如何知道首先优先处理哪些响应？当安全发现被孤立查看时，跨多个账户和区域管理大量发现变得更加困难，难以确定真正的优先级和影响。Security Hub通过提供上下文驱动的分析来解决这个问题。它通过关联相关漏洞、威胁和错误配置来揭示最关键的利用路径，从而发现最关键的风险。这可以帮助您明智地决定首先处理哪些问题。

通过暴露发现，您可以优先处理关键安全问题并大规模响应。暴露基于对Security Hub CSPM、Amazon Inspector（扫描漏洞）和Amazon Macie（发现和保护敏感数据）的发现和特征的分析。它们被定义为潜在的安全问题，并由不同的暴露特征生成。

如果没有自动关联和丰富的信号，安全团队可能难以有效优先处理问题。例如，Amazon Inspector检测到的漏洞在与Security Hub CSPM识别的错误配置结合时可能变得至关重要。然而，手动分析数千个信号之间的关系耗时且容易遗漏关键安全上下文。团队通常构建自定义解决方案来实现这一点，但这种方法需要大量的分析时间和维护，可能导致关键安全关系被忽略。

Security Hub通过在统一的云安全中心中提供跨这些AWS服务的原生集成来减少这种复杂性，而无需日志收集和聚合的操作开销。对于安全团队来说，这意味着他们可以在暴露导致业务影响之前帮助识别和响应最关键的暴露，而不是花费宝贵的时间手动拼凑单独的安全信号。自动关联和丰富的上下文可以帮助您更快、更明智地决定集中精力在哪里。这最终有助于更有效地保护云环境。

暴露发现通过提供安全态势的全面视图来识别环境中的安全风险。这些发现使您能够理解并处理潜在风险。通过这种整合方法，您可以通过首先关注最关键的暴露发现来高效优先处理修复工作。

暴露发现采用开放网络安全架构框架（OCSF）模式格式化，这是一种开源标准，使安全工具能够无缝共享数据。Security Hub采用OCSF有几个优势。作为Linux基金会的一部分，OCSF是一个开放的标准化模式，支持AWS环境内外多个安全工具和服务的互操作性。它通过一致的字段命名和分类提供增强的数据规范化，使其更直接地与第三方安全工具集成。

已经支持或打算支持OCSF模式以接收Security Hub发现的合作伙伴包括Arctic Wolf、CrowdStrike、Comcast旗下的DataBee、Datadog、DTEX Systems、Dynatrace、Fortinet、IBM、Netskope、Orca Security、Palo Alto Networks、Rapid7、Securonix、SentinelOne、Sophos、Cisco旗下的Splunk、Sumo Logic、Tines、Trellix、Wiz和Zscaler。此外，服务合作伙伴如Accenture、Caylent、Deloitte、IBM和Optiv可以帮助您采用Security Hub和OCSF模式。

优先处理安全风险

当您导航到Security Hub时，您将看到摘要仪表板，其中包括一个暴露摘要小部件，如图1所示。此小部件按严重性和频率显示您的暴露。Security Hub为每个暴露发现分配默认严重性：关键、高、中或低。严重性为信息性的暴露发现不会发布。

Security Hub通过分析和关联跨AWS服务的多个安全特征来计算暴露发现的严重性。Security Hub不使用孤立评估这些因素，而是采用上下文方法，根据这些因素如何关联分配严重性评级。例如，如果资源可从互联网利用或访问敏感数据，则具有已识别漏洞的资源可能会获得更高的严重性评级。

Security Hub使用几个因素来确定暴露发现的默认严重性：

• 发现难易度 – 自动化工具（如端口扫描或互联网搜索）发现风险资源的可用性。
• 利用难易度 – 威胁行为者利用风险的难易程度。例如，如果有开放的网络路径或错误配置的元数据，威胁行为者可以更快地利用风险。
• 利用可能性 – Security Hub使用外部信号（如利用预测评分系统（EPSS），一种数据驱动的评分系统，估计漏洞被利用的概率）和内部威胁情报来确定风险被利用的概率。这种全面方法适用于Amazon Elastic Compute Cloud（EC2）实例和AWS Lambda函数的暴露发现。
• 意识 – 风险不仅仅是理论上的，而是有公开可用或自动化利用的程度。此因素适用于EC2实例和Lambda函数的暴露发现。
• 影响 – 如果利用被执行，潜在的危害。例如，暴露可能导致数据暴露导致的机密性丧失、数据损坏导致的完整性丧失、可用性丧失或责任丧失。

此小部件中的风险列表仅限于具有最多关键发现的八个最高风险。如果两个或更多风险具有相同数量的关键发现，列表会自动将这些发现分组到更近期的关键发现后面。

图1：暴露摘要小部件

从小部件中，您可以切换到暴露仪表板，查看预过滤的暴露视图，以持续分析潜在安全问题。您可以通过选择与每个严重性相关的数字按严重性过滤，通过从列表中选择查看特定暴露，或选择“查看所有暴露发现”以查看当前打开的