将 AWS Security Hub 与 Google SecOps 集成

本文档介绍了如何将 AWS Security Hub 与 Google Security Operations (Google SecOps) 集成。

集成版本：8.0

使用场景

在 Google SecOps 中，AWS Security Hub 集成可帮助您解决以下用例：

  • 自动丰富事件：当 Security Hub 中检测到潜在的安全事件时，使用 Google SecOps 功能自动从其他 AWS 服务（例如 VPC 流日志、GuardDuty 发现结果和 CloudTrail 日志）检索相关背景信息。自动扩充事件信息有助于分析人员快速了解事件的范围和潜在影响。

  • 优先处理补救措施：使用 Google SecOps 功能，根据预定义的 playbook 自动响应 Security Hub 发现结果。例如，如果发现与公开的 S3 存储桶相关的高严重程度问题，系统可以自动触发剧本，以修正错误配置并通知相应团队。

  • 威胁情报集成：使用 Google SecOps 功能与威胁情报 Feed 集成，并根据已知的恶意指标交叉引用 Security Hub 发现。通过威胁情报集成，分析师可以识别并确定需要立即处理的高风险威胁的优先级。

  • 合规性报告和审核：使用 Google SecOps 功能汇总和归一化来自 Security Hub 和其他来源的安全数据，以简化合规性报告。

  • 漏洞管理：通过与 AWS Security Hub 漏洞扫描功能集成，利用 Google SecOps 功能自动执行漏洞分类、优先级排序和补救流程。漏洞管理可以帮助您缩小攻击面，并提升组织的整体安全状况。

准备工作

为了使集成正常运行，您需要在 AWS 中配置自定义身份和访问权限政策。

如需详细了解如何在 AWS 中创建自定义政策，请参阅 AWS 文档中的使用 JSON 编辑器创建政策。

如需配置 AWS Security Hub 集成所需的权限并设置自定义政策，请使用以下代码：

{
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "securityhub:GetMasterAccount",
                "securityhub:GetInsightResults",
                "securityhub:CreateInsight",
                "securityhub:UpdateInsight",
                "securityhub:BatchUpdateFindings",
                "securityhub:GetFindings",
                "securityhub:GetInsight",
                "securityhub:DescribeHub",
            ],
            "Resource": "*"
}

如需详细了解如何配置权限，请参阅 AWS 文档中的 AWS 托管式政策：AWSSecurityHubServiceRolePolicy。

集成参数

AWS Security Hub 集成需要以下参数：

参数 说明
AWS Access Key ID 必需

要在集成中使用的 AWS 访问密钥 ID。
AWS Secret Key 必需

要在集成中使用的 AWS 密钥。
AWS Default Region 必需

集成中要使用的 AWS 默认区域，例如 us-west-2。

如有必要，您可以在稍后阶段进行更改。配置实例后，您可以在 playbook 中使用它们。如需详细了解如何配置和支持多个实例，请参阅支持多个实例。

如需了解如何在 Google SecOps 中配置集成，请参阅配置集成。

使用“过滤条件 JSON 对象”参数

对于创建数据洞见和更新数据洞见操作，您可以为发现结果配置过滤条件。

如需在 AWS Security Hub 中创建洞见，请为系统中可用的发现结果应用过滤条件。

包含所有可能配置的过滤器的结构如下所示：

{
    "ProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "AwsAccountId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Id": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "GeneratorId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Type": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "FirstObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "LastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "CreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "UpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "SeverityProduct": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityNormalized": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityLabel": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Confidence": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Criticality": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Title": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Description": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecommendationText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "SourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProductFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ProductName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "CompanyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "UserDefinedFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "MalwareName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwarePath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDirection": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkProtocol": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourceIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourcePort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkSourceDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceMac": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDestinationIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationPort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkDestinationDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessParentPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ProcessTerminatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorValue": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorCategory": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorLastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorSource": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorSourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourcePartition": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceRegion": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceTags": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIpV4Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceIpV6Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceKeyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIamInstanceProfileArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceVpcId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceSubnetId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceAwsS3BucketOwnerId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsS3BucketOwnerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyUserName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyCreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceContainerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceDetailsOther": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ComplianceStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "VerificationState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecordState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteUpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "NoteUpdatedBy": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Keyword": [
        {
            "Value": "string"
        }
    ]
}

以下是一个过滤器的示例，该过滤器仅返回严重程度为“严重”的发现结果：

{
    "SeverityLabel": [
        {
            "Value": "CRITICAL",
            "Comparison": "EQUALS"
        }
    ]
}

操作

为了正常运行，AWS Security Hub 操作需要您配置特定权限。如需详细了解集成所需的权限，请参阅本文档中的准备工作部分。

创建分析数据

使用 Create Insight 操作在 AWS Security Hub 中创建洞见。

操作输入

创建数据洞见操作需要以下参数：

参数 说明
Insight Name 必需

数据分析的名称。
Group By Attribute 必需

用于对发现结果进行分组的属性的名称。 该操作会将发现结果归入一个数据洞见。

默认值为 AWS Account ID。

可能的值如下：

  • AWS Account ID
  • Company Name
  • Status
  • Generator ID
  • Malware Name
  • Process Name
  • Threat Intel Type
  • Product ARN
  • Product Name
  • Record State
  • EC2 Instance Image ID
  • EC2 Instance IPv4
  • EC2 Instance IPv6
  • EC2 Instance Key Name
  • EC2 Instance Subnet ID
  • EC2 Instance Type
  • EC2 Instance VPC ID
  • IAM Access Key User Name
  • S3 Bucket Owner Name
  • Container Image ID
  • Container Image Name
  • Container Name
  • Resource ID
  • Resource Type
  • Severity Label
  • Source URL
  • Type
  • Verification State
  • Workflow Status
Filter JSON Object 必需

要应用于发现结果的过滤条件。过滤条件是一个 JSON 对象，可用于指定不同的属性和值。如需详细了解过滤条件配置，请参阅本文档的使用过滤条件 JSON 对象参数部分。

操作输出

创建数据分析操作会提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
JSON 结果

以下示例展示了使用 Create Insight 操作时收到的 JSON 结果输出：

{
    "InsightArn": "arn:aws:securityhub:ID",
}
输出消息

创建数据分析操作可以返回以下输出消息：

输出消息 消息说明

Successfully created 'INSIGHT_NAME" insight in AWS Security Hub.

Action wasn't able to create 'INSIGHT_NAME' insight.

 操作成功。
Error executing action "Create Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Create Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

获取数据洞见详细信息

使用 Get Insight Details 操作可返回有关 AWS Security Hub 中洞见的详细信息。

此操作不适用于 Google SecOps 实体。

操作输入

获取数据分析详细信息操作需要以下参数：

参数 说明
Insight ARN 必需

数据洞见的 Amazon 资源名称 (ARN)。
Max Results To Return 必需

要返回的结果的数量。

默认值为 50。

操作输出

获取数据分析详情操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 可用
丰富化表 不可用
JSON 结果 可用
输出消息 可用
脚本结果 可用
“支持请求墙”表格

“获取数据洞见详细信息”操作可在 Google SecOps 中返回下表：

表格名称：“NUMBER_OF_OBJECTS”存储分区对象

列：

  • 名称（映射为 GroupByAttributeValue）
  • 数量（映射为 Count）
JSON 结果

以下示例展示了在使用 Get Insight Details 操作时收到的 JSON 结果输出：

"InsightResults": {
        "InsightArn": "arn:aws:securityhub:ID",
        "GroupByAttribute": "ResourceId",
        "ResultValues": [
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-getreportstatus",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-searchactionbug",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-unicodeandlogs",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-automation-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-awss3-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-azureactivedirectory-v-4-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-bootcamp-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-categories",
                "Count": 5
            }
        ]
    }
输出消息

获取数据分析详细信息操作可以返回以下输出消息：

输出消息 消息说明

Successfully returned details about Insight with ARN 'ARN' in AWS Security Hub.

操作成功。
Error executing action "Get Insight Details". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Get Insight Details 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

Ping

使用 Ping 操作测试与 AWS Security Hub 的连接。

此操作不适用于 Google SecOps 实体。

操作输入

无。

操作输出

Ping 操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

Ping 操作可以返回以下输出消息：

输出消息 消息说明

Successfully connected to the AWS Security Hub server with the provided connection parameters!

 操作成功。
Failed to connect to the AWS Security Hub! Error is ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Ping 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

更新发现结果

使用 Update Finding 操作更新 AWS Security Hub 中的发现结果。

此操作不适用于 Google SecOps 实体。

操作输入

更新发现操作需要以下参数：

参数 说明
ID 必需

要更新的发现的 ID。
Product ARN 必需

要更新的发现结果的商品 ARN。
Note 可选

发现注释的新文本。

如果您配置此参数，还需配置 Note Author 参数。
Note Author 可选

注释的作者。

如果您配置此参数，还应配置 Note 参数。
Severity 可选

发现结果的新严重程度。

可能的值如下：

  • Critical
  • High
  • Medium
  • Low
  • Informational
Verification State 可选

发现项的新验证状态。

可能的值如下：

  • Unknown
  • True Positive
  • False Positive
  • Benign Positive
Confidence 可选

发现的新置信度。

最大值为 100。
Criticality 可选

发现的新严重程度。

最大值为 100。
Types 可选

以英文逗号分隔的发现类型列表，例如 type1,type2。
Workflow Status 可选

发现结果的新工作流状态。

可能的值如下：

  • New
  • Notified
  • Resolved
  • Suppressed
Custom Fields 可选

要更新的发现自定义字段，例如 Custom_field_1:VALUE, Custom_field_2:VALUE。

操作输出

更新发现结果操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更新发现结果操作可以返回以下输出消息：

输出消息 消息说明

Successfully updated finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.

Action wasn't able to update finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.

操作成功。
Error executing action "Update Findings". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用更新发现操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

更新后的分析

使用 Update Insight 操作更新 AWS Security Hub 中的洞见。

此操作不适用于 Google SecOps 实体。

操作输入

更新数据洞见操作需要以下参数：

参数 说明
Insight ARN 必需

数据分析的 ARN。
Insight Name 可选

数据分析的名称。
Group By Attribute 可选

用于对发现结果进行分组的属性的名称。 该操作会将发现结果归入一个数据洞见。

默认值为 AWS Account ID。

可能的值如下：

  • AWS Account ID
  • Company Name
  • Status
  • Generator ID
  • Malware Name
  • Process Name
  • Threat Intel Type
  • Product ARN
  • Product Name
  • Record State
  • EC2 Instance Image ID
  • EC2 Instance IPv4
  • EC2 Instance IPv6
  • EC2 Instance Key Name
  • EC2 Instance Subnet ID
  • EC2 Instance Type
  • EC2 Instance VPC ID
  • IAM Access Key User Name
  • S3 Bucket Owner Name
  • Container Image ID
  • Container Image Name
  • Container Name
  • Resource ID
  • Resource Type
  • Severity Label
  • Source URL
  • Type
  • Verification State
  • Workflow Status
Filter JSON Object 可选

要应用于发现结果的过滤条件。过滤条件是一个 JSON 对象，可用于指定不同的属性和值。如需详细了解过滤条件配置，请参阅本文档的使用过滤条件 JSON 对象参数部分。

操作输出

更新数据洞见操作提供以下输出：

操作输出类型 可用性
案例墙附件 不可用
案例墙链接 不可用
“支持请求墙”表格 不可用
丰富化表 不可用
JSON 结果 不可用
输出消息 可用
脚本结果 可用
输出消息

更新数据分析操作可以返回以下输出消息：

输出消息 消息说明

Successfully updated 'INSIGHT_ARN' insight in AWS Security Hub

Action wasn't able to update the 'INSIGHT_ARN' insight.

 操作成功。
Error executing action "Update Insight". Reason: ERROR_REASON

操作失败。

检查与服务器的连接、输入参数或凭据。
脚本结果

下表列出了使用 Update Insight 操作时脚本结果输出的值：

脚本结果名称 值
is_success True 或 False

连接器

如需详细了解如何在 Google SecOps 中配置连接器，请参阅注入数据（连接器）。

AWS Security Hub - 发现结果连接器

使用 AWS Security Hub - 发现结果连接器从 AWS Security Hub 检索发现结果。

连接器需要以下参数：

参数 说明
Product Field Name 必需

存储商品名称的字段的名称。

默认值为 Product Name。
Event Field Name 必需

用于确定事件名称（子类型）的字段名称。

默认值为 alertType。
Environment Field Name 可选

存储环境名称的字段的名称。

如果找不到环境字段，则环境为默认环境。

默认值为 ""。
Environment Regex Pattern 可选

要对 Environment Field Name 字段中的值运行的正则表达式模式。此参数可让您使用正则表达式逻辑来操纵环境字段。

使用默认值 .* 可检索所需的原始 Environment Field Name 值。

如果正则表达式模式为 null 或空，或者环境值为 null，则最终环境结果为默认环境。
Script Timeout (Seconds) 必需

运行当前脚本的 Python 进程的超时时限。

默认值为 180。
AWS Access Key ID 必需

要在集成中使用的 AWS 访问密钥 ID。
AWS Secret Key 必需

要在集成中使用的 AWS 密钥。
AWS Default Region 必需

集成中要使用的 AWS 默认区域，例如 us-west-2。
Lowest Severity To Fetch 必需

要提取的发现结果的最低严重程度。

可能的值如下：
  • Informational
  • Low
  • Medium
  • High
  • Critical
默认值为 Medium。
Fetch Max Hours Backwards 可选

首次连接器迭代之前的小时数，用于检索事件。此参数仅在您首次启用连接器后，应用于初始连接器迭代一次。

默认值为 1 小时。
Max Findings To Fetch 可选

一次连接器迭代中要处理的发现结果数量。

默认值为 50。
Use whitelist as a blacklist 必需

如果选中此选项，连接器会将动态列表用作屏蔽列表。

默认情况下未选中。
Verify SSL 必需

如果选中此选项，Google SecOps 会验证与 AWS Security Hub 服务器的连接所用的 SSL 证书是否有效。

此选项将会默认选中。
Proxy Server Address 可选

要使用的代理服务器的地址。
Proxy Username 可选

用于进行身份验证的代理用户名。
Proxy Password 可选

用于进行身份验证的代理密码。

连接器规则

AWS Security Hub - 发现结果连接器支持代理。

需要更多帮助？从社区成员和 Google SecOps 专业人士那里获得解答。