如何利用AWS Security Hub暴露发现优先处理安全风险
在re:Inforce 2025上，AWS推出了增强版AWS Security Hub，彻底改变了组织优先处理最关键安全问题并大规模响应以保护云环境的方式。在本博文中，我们将讨论如何使用Security Hub通过暴露发现来优先处理这些问题。增强版Security Hub现在使用高级分析来自动关联、丰富和优先处理云环境中的安全信号。Security Hub与Amazon GuardDuty、Amazon Inspector、Amazon Macie和AWS Security Hub云安全态势管理（CSPM，前身为AWS Security Hub）无缝集成。通过这些集成，它提供全面的威胁检测和漏洞评估。这种智能集成帮助组织快速识别关键安全问题，从潜在的凭据泄露到意外的资源暴露，使安全团队能够专注于最重要的事项。
什么是Security Hub？
Security Hub通过统一的云安全解决方案提供三个关键安全功能，帮助您加强云安全态势：
- 通过集中管理和持续监控提供组织范围内的可见性。
- 丰富来自Amazon Inspector和AWS Security Hub CSPM等服务的安全信号，以发现特定于您环境的活动风险，从而自信地确定优先级并简化响应。
- 通过关联来自Amazon Inspector、AWS Security Hub CSPM、Amazon Macie和其他AWS服务的发现，提供集成的风险分析，帮助识别潜在攻击路径、发现可利用的漏洞和错误配置，并提供可操作的修复指导。
客户最关心的问题是：我如何知道首先优先响应哪里？当安全发现被孤立查看时，跨多个账户和区域管理大量发现变得更加困难，难以确定真正的优先级和影响。Security Hub通过提供上下文驱动的分析来解决这个问题。它通过关联相关漏洞、威胁和错误配置来揭示最关键的利用路径，从而发现最关键的利用路径。这可以帮助您就首先处理哪些问题做出明智的决策。
通过暴露发现，您可以优先处理关键安全问题并大规模响应。暴露基于对Security Hub CSPM、Amazon Inspector（扫描漏洞）和Amazon Macie（发现和保护敏感数据）的发现和特征的分析。它们被定义为潜在的安全问题，并由不同的暴露特征生成。
如果没有自动关联和丰富的信号，安全团队可能难以有效优先处理问题。例如，当Amazon Inspector检测到的漏洞与Security Hub CSPM识别的错误配置结合时，可能会变得至关重要。然而，手动分析数千个信号之间的关系既耗时又容易遗漏关键安全上下文。团队通常构建自定义解决方案来实现这一点，但这种方法需要大量的分析时间和维护，可能导致关键安全关系被忽视。
Security Hub通过在统一的云安全中心中提供跨这些AWS服务的原生集成，减少了这种复杂性，而无需日志收集和聚合的操作开销。对于安全团队来说，这意味着他们可以在暴露导致业务影响之前帮助识别和响应最关键的暴露，而不是花费宝贵的时间手动拼凑单个安全信号。自动关联和丰富的上下文可以帮助您更快、更明智地决定将精力集中在哪里。这最终有助于更有效地保护您的云环境。
暴露发现通过提供安全态势的全面视图来识别环境中的安全风险。这些发现使您能够理解并解决潜在风险。通过这种整合方法，您可以通过首先关注最关键的暴露发现来高效优先处理修复工作。
暴露发现采用开放网络安全架构框架（OCSF）模式进行格式化，这是一种开源标准，使安全工具能够无缝共享数据。Security Hub采用OCSF有几个优势。作为Linux基金会的一部分，OCSF是一个开放、标准化的模式，支持跨多个安全工具和服务的互操作性，无论是在AWS环境内部还是外部。它通过一致的字段命名和分类提供增强的数据规范化，使其更易于与第三方安全工具集成。
已经支持或打算支持OCSF模式以接收Security Hub发现的合作伙伴包括Arctic Wolf、CrowdStrike、Comcast旗下的DataBee、Datadog、DTEX Systems、Dynatrace、Fortinet、IBM、Netskope、Orca Security、Palo Alto Networks、Rapid7、Securonix、SentinelOne、Sophos、Cisco旗下的Splunk、Sumo Logic、Tines、Trellix、Wiz和Zscaler等公司。此外，服务合作伙伴如Accenture、Caylent、Deloitte、IBM和Optiv可以帮助您采用Security Hub和OCSF模式。
优先处理安全风险
当您导航到Security Hub时，您将看到摘要仪表板，其中包括一个暴露摘要小部件，如图1所示。此小部件按严重性和频率显示您的暴露。Security Hub为每个暴露发现分配默认严重性：关键、高、中或低。严重性为信息性的暴露发现不会发布。
Security Hub通过分析和关联跨AWS服务的多个安全特征来计算暴露发现的严重性。Security Hub不是孤立评估这些因素，而是使用上下文方法，根据这些因素如何关联来分配严重性评级。例如，如果资源可从互联网利用或访问敏感数据，则具有已识别漏洞的资源可能会获得更高的严重性评级。
Security Hub使用几个因素来确定暴露发现的默认严重性：
- 发现难易度 – 自动化工具（如端口扫描或互联网搜索）的可用性，以发现处于风险中的资源。
- 利用难易度 – 威胁行为者利用风险的难易程度。例如，如果有开放的网络路径或错误配置的元数据，威胁行为者可以更快地利用风险。
- 利用可能性 – Security Hub使用外部信号（如利用预测评分系统（EPSS）——一种数据驱动的评分系统，用于估计漏洞被利用的概率）和内部威胁情报来确定风险被利用的概率。这种全面方法适用于Amazon Elastic Compute Cloud（EC2）实例和AWS Lambda函数的暴露发现。
- 意识 – 风险不仅仅是理论上的，而是有公开可用或自动化利用的程度。此因素适用于EC2实例和Lambda函数的暴露发现。
- 影响 – 如果利用被执行，潜在的危害。例如，暴露可能导致数据暴露导致的机密性丧失、数据损坏导致的完整性丧失、可用性丧失或问责制丧失。
此小部件中的风险列表仅限于具有最多关键发现的八个最高风险。如果两个或更多风险具有相同数量的关键发现，列表会自动将这些发现分组在更近期的关键发现之后。
图1：暴露摘要小部件
从小部件，您可以转到暴露仪表板，查看预过滤的暴露视图，以继续分析潜在安全问题。您可以通过选择与每个严重性相关的数字按严重性过滤，从列表中选择查看特定暴露，或选择“查看所有暴露发现”以查看当前开放的新暴露的仪表板，如图2所示。
图2：暴露仪表板
暴露控制台按标题显示发现，并按严重性递减排序。它按过滤条件组织，并按发现标题分组。在左侧，快速过滤器提供了一种基于严重性、基于发现中最常见值的前10个属性、前10个账户和前10个资源类型快速过滤暴露的方法，如图2所示。除了使用过滤器，您还可以使用“分组依据”下拉菜单按特定属性（如AWS账户ID、资源类型或产品名称）对暴露发现进行分组。
要查看暴露，请展开发现，如图3所示，以查看资源、状态、属性和特征（如软件漏洞、错误配置和可达性）的关联。这些也称为特征类型。对于特定的暴露发现，一个特征可以与一个或多个信号关联，一个信号可以包含一个或多个指标。
图3：暴露发现
如图3所示，“潜在凭据窃取：具有管理实例配置文件的互联网可达EC2实例，具有网络可利用软件漏洞且利用可能性高”的发现表明存在与实例相关的错误配置、漏洞和可达性（指示到资源的开放网络路径）。要了解更多关于信号的信息，请选择与风险相关的行中的任何位置，您将看到一个概览面板，如图4所示。
图4：暴露发现概览
此示例突出了us-east-1区域中一个具有软件漏洞的互联网可达EC2实例的关键严重性发现。这种可视化非常强大，因为“潜在攻击路径”图通过映射潜在威胁行为者如何利用这些漏洞访问您的资源来帮助您看到重要内容。该发现还包括关键元数据，如资源标识符、创建时间、可达性、漏洞和错误配置。
使用该发现，您可以快速理解复杂的安全关系、评估风险上下文并确定修复优先级，从而更好地保护云中的工作负载并做出更明智的安全决策。为了优先处理安全响应工作，您还可以设置发现严重性级别和更新状态，并以OCSF格式导出发现。
要理解为什么存在暴露，您可以选择“特征”选项卡，如图5所示。这将列出诸如错误配置或漏洞等特征。如果您在“特征”选项卡中选择“按信号”，您将获得与暴露发现相关的信号的完整列表。这些信号是从不同服务（如Security Hub CSPM和Amazon Inspector）创建的底层发现，这些发现被关联在一起以确定与暴露发现相关的风险。
图5：暴露发现特征
如果您选择“资源”选项卡，您将看到与暴露发现相关的资源，如图6所示。
图6：暴露发现资源
对于此示例，我们有一个EC2实例，但您可能有一组资源，如EC2实例、Amazon Simple Storage Service（Amazon S3）存储桶和AWS Identity and Access Management（IAM）角色。此资源列表将帮助您确定环境中需要修复什么以减轻归因于此发现的风险。
最后，通过“创建工单”选项，Security Hub通过其与流行服务管理系统（如Atlassian的Jira Service Management和ServiceNow）的原生集成，帮助简化事件管理流程。这种集成最小化了手动创建工单的需求，并减少了从发现到修复安全问题的时间。组织可以使用Security Hub自动化规则直接从Security Hub控制台自动创建和跟踪安全发现的工单，帮助确保没有关键安全暴露未被处理。与这些广泛使用的服务管理系统的集成有助于维护一致的工作流程，实现更好的修复工作跟踪，并改善安全和运营团队之间的协作。这可以通过提供从检测到解决的简化路径来帮助您使安全操作更高效。
结论
Security Hub中增强的暴露发现功能代表了组织保护其云环境方式的重大进步。通过自动关联和分析跨多个AWS服务的安全信号，Security Hub帮助您自信地优先处理最关键的安全问题并大规模响应。潜在攻击路径的直观可视化，结合智能严重性评级和全面的特征分析，使安全团队能够就风险优先级做出数据驱动的决策。
Security Hub暴露发现通过以下方式帮助组织从被动安全态势转向主动安全态势：
- 自动发现和评估公开可访问的资源
- 提供安全能力和配置的清晰可见性
- 关联多个安全信号以识别关键风险
- 提供可操作的修复指导
- 提供直观的过滤和分组选项以进行高效分析
随着云环境复杂性的不断增加，暴露发现提供了所需的自动化、智能和上下文，以领先于潜在的安全问题。这使安全团队能够将宝贵的时间集中在首先解决最关键的风险上，最终帮助组织在整个云环境中保持更强的安全态势。
无论您是管理小型部署还是大型企业环境，Security Hub中的暴露发现都提供了有效保护AWS工作负载并在不断发展的环境中保持强大安全位置所需的见解。
如果您对此博文有反馈，请在下面的评论部分提交评论。如果您对此博文有疑问，请在AWS安全、身份和合规re:Post上开始新线程或联系AWS支持。