整合 AWS Security Hub 與 Google SecOps

本文說明如何將 AWS Security Hub 與 Google Security Operations (Google SecOps) 整合。

整合版本：8.0

用途

在 Google SecOps 中，AWS Security Hub 整合功能可協助您解決下列應用情境：

• 自動擴充事件：在 Security Hub 中偵測到潛在安全性事件時，使用 Google SecOps 功能自動從其他 AWS 服務 (例如 VPC Flow Logs、GuardDuty 發現項目和 CloudTrail 記錄) 擷取相關背景資訊。自動事件強化功能可協助分析師快速瞭解事件的範圍和潛在影響。

• 優先處理：使用 Google SecOps 功能，根據預先定義的應對手冊，自動回應 Security Hub 發現的結果。舉例來說，如果發現與公開 S3 bucket 相關的嚴重程度較高問題，系統可以自動觸發教戰手冊，修正錯誤設定並通知適當的團隊。

• 整合威脅情報：運用 Google SecOps 功能整合威脅情報動態消息，並根據已知的惡意指標交叉參照 Security Hub 發現項目。透過威脅情報整合功能，分析師可以識別並優先處理需要立即處理的高風險威脅。

• 法規遵循報告和稽核：使用 Google SecOps 功能匯總及正規化 Security Hub 和其他來源的安全性資料，簡化法規遵循報告。

• 安全漏洞管理：整合 AWS Security Hub 安全漏洞掃描功能，運用 Google SecOps 功能自動執行安全漏洞分類、優先順序設定和修復程序。安全漏洞管理功能可協助您縮減攻擊面，並提升貴機構的整體安全防護機制。

事前準備

如要讓整合功能正常運作，您需要在 AWS 中設定自訂身分和存取權政策。

如要進一步瞭解如何在 AWS 建立自訂政策，請參閱 AWS 說明文件中的「使用 JSON 編輯器建立政策」。

如要設定 AWS Security Hub 整合功能所需的權限，並設定自訂政策，請使用下列程式碼：

{
            "Sid": "SecurityHubServiceRolePermissions",
            "Effect": "Allow",
            "Action": [
                "securityhub:GetMasterAccount",
                "securityhub:GetInsightResults",
                "securityhub:CreateInsight",
                "securityhub:UpdateInsight",
                "securityhub:BatchUpdateFindings",
                "securityhub:GetFindings",
                "securityhub:GetInsight",
                "securityhub:DescribeHub",
            ],
            "Resource": "*"
}

如要進一步瞭解如何設定權限，請參閱 AWS 說明文件中的「AWS 受管理政策：AWSSecurityHubServiceRolePolicy」。

整合參數

AWS Security Hub 整合需要下列參數：

參數	說明
AWS Access Key ID	必要 用於整合的 AWS 存取金鑰 ID。
AWS Secret Key	必要 整合作業中使用的 AWS 私密金鑰。
AWS Default Region	必要 要在整合中使用的 AWS 預設區域，例如 us-west-2。

如有需要，您可以在稍後階段進行變更。設定執行個體後，您就可以在劇本中使用這些執行個體。如要進一步瞭解如何設定及支援多個執行個體，請參閱「支援多個執行個體」。

如需在 Google SecOps 中設定整合功能的操作說明，請參閱「設定整合功能」。

使用「篩選器 JSON 物件」參數

對於「建立洞察」和「更新洞察」動作，您可以設定調查結果的篩選條件。

如要在 AWS Security Hub 中建立洞察，請套用系統提供的發現項目篩選器。

包含所有可能設定的篩選器結構如下：

{
    "ProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "AwsAccountId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Id": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "GeneratorId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Type": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "FirstObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "LastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "CreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "UpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "SeverityProduct": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityNormalized": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "SeverityLabel": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Confidence": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Criticality": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "Title": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Description": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecommendationText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "SourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProductFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ProductName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "CompanyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "UserDefinedFields": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "MalwareName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwarePath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "MalwareState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDirection": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkProtocol": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourceIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkSourcePort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkSourceDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkSourceMac": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NetworkDestinationIpV4": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationIpV6": [
        {
            "Cidr": "string"
        }
    ],
    "NetworkDestinationPort": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "NetworkDestinationDomain": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPath": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ProcessPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessParentPid": [
        {
            "Gte": 123.0,
            "Lte": 123.0,
            "Eq": 123.0
        }
    ],
    "ProcessLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ProcessTerminatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorValue": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorCategory": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorLastObservedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ThreatIntelIndicatorSource": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ThreatIntelIndicatorSourceUrl": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourcePartition": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceRegion": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceTags": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceType": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIpV4Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceIpV6Addresses": [
        {
            "Cidr": "string"
        }
    ],
    "ResourceAwsEc2InstanceKeyName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceIamInstanceProfileArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceVpcId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceSubnetId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsEc2InstanceLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceAwsS3BucketOwnerId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsS3BucketOwnerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyUserName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceAwsIamAccessKeyCreatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceContainerName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerImageName": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "ResourceContainerLaunchedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "ResourceDetailsOther": [
        {
            "Key": "string",
            "Value": "string",
            "Comparison": "EQUALS"|"NOT_EQUALS"
        }
    ],
    "ComplianceStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "VerificationState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "WorkflowStatus": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RecordState": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsProductArn": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "RelatedFindingsId": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteText": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "NoteUpdatedAt": [
        {
            "Start": "string",
            "End": "string",
            "DateRange": {
                "Value": 123,
                "Unit": "DAYS"
            }
        }
    ],
    "NoteUpdatedBy": [
        {
            "Value": "string",
            "Comparison": "EQUALS"|"PREFIX"|"NOT_EQUALS"|"PREFIX_NOT_EQUALS"
        }
    ],
    "Keyword": [
        {
            "Value": "string"
        }
    ]
}

以下是篩選器範例，只會傳回嚴重性為「重大」的發現項目：

{
    "SeverityLabel": [
        {
            "Value": "CRITICAL",
            "Comparison": "EQUALS"
        }
    ]
}

動作

如要正常運作，AWS Security Hub 動作需要您設定特定權限。如要進一步瞭解整合的權限，請參閱本文的「事前準備」一節。

建立洞察資料

使用「Create Insight」動作，在 AWS Security Hub 中建立洞察。

動作輸入內容

「建立洞察」動作需要下列參數：

參數	說明
Insight Name	必要 洞察資料的名稱。
Group By Attribute	必要 要用來分組調查結果的屬性名稱。 這項動作會將發現項目歸類在同一項洞察資料下。 預設值為 AWS Account ID。 可能的值如下： AWS Account ID Company Name Status Generator ID Malware Name Process Name Threat Intel Type Product ARN Product Name Record State EC2 Instance Image ID EC2 Instance IPv4 EC2 Instance IPv6 EC2 Instance Key Name EC2 Instance Subnet ID EC2 Instance Type EC2 Instance VPC ID IAM Access Key User Name S3 Bucket Owner Name Container Image ID Container Image Name Container Name Resource ID Resource Type Severity Label Source URL Type Verification State Workflow Status
Filter JSON Object	必要 要套用至發現項目的篩選器。篩選器是 JSON 物件，可讓您指定不同的屬性和值。如要進一步瞭解篩選器設定，請參閱本文的「使用篩選器 JSON 物件參數」一節。

動作輸出內容

「建立洞察」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

JSON 結果

以下範例顯示使用「建立洞察」動作時收到的 JSON 結果輸出內容：

{
    "InsightArn": "arn:aws:securityhub:ID",
}

輸出訊息

「建立洞察」動作可能會傳回下列輸出訊息：

輸出訊息	訊息說明
Successfully created 'INSIGHT_NAME" insight in AWS Security Hub. Action wasn't able to create 'INSIGHT_NAME' insight.	動作成功。
Error executing action "Create Insight". Reason: ERROR_REASON	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「建立洞察」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True或False

取得洞察詳情

使用「Get Insight Details」(取得洞察詳細資料) 動作，傳回 AWS Security Hub 中洞察的詳細資訊。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「取得洞察資料詳細資料」動作需要下列參數：

參數	說明
Insight ARN	必要 洞察的 Amazon Resource Name (ARN)。
Max Results To Return	必要 要傳回的結果數。 預設值為 50。

動作輸出內容

「取得洞察詳細資料」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	可用
補充資訊表格	無法使用
JSON 結果	可用
輸出訊息	可用
指令碼結果	可用

案件訊息牆表格

「Get Insight Details」(取得洞察詳細資料) 動作可在 Google SecOps 中傳回下表：

資料表名稱：'NUMBER_OF_OBJECTS' Bucket Objects

欄：

• 名稱 (對應為 GroupByAttributeValue)
• 數量 (對應為 Count)

JSON 結果

以下範例顯示使用「取得洞察資料詳細資料」動作時收到的 JSON 結果輸出內容：

"InsightResults": {
        "InsightArn": "arn:aws:securityhub:ID",
        "GroupByAttribute": "ResourceId",
        "ResultValues": [
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-getreportstatus",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-searchactionbug",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-arcsight-v-27-0-unicodeandlogs",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-automation-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-awss3-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-azureactivedirectory-v-4-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-bootcamp-v-1-0",
                "Count": 5
            },
            {
                "GroupByAttributeValue": "arn:aws:s3:::int-categories",
                "Count": 5
            }
        ]
    }

輸出訊息

「取得洞察詳細資料」動作可傳回下列輸出訊息：

輸出訊息	訊息說明
Successfully returned details about Insight with ARN 'ARN' in AWS Security Hub.	動作成功。
Error executing action "Get Insight Details". Reason: ERROR_REASON	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「取得洞察資料詳細資料」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True或False

乒乓

使用「Ping」動作測試與 AWS Security Hub 的連線。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

無

動作輸出內容

「Ping」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「Ping」動作可能會傳回下列輸出訊息：

輸出訊息	訊息說明
Successfully connected to the AWS Security Hub server with the provided connection parameters!	動作成功。
Failed to connect to the AWS Security Hub! Error is ERROR_REASON	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「Ping」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True或False

更新發現項目

使用「Update Finding」(更新發現項目) 動作，更新 AWS Security Hub 中的發現項目。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

「更新發現項目」動作需要下列參數：

參數	說明
ID	必要 要更新的發現項目 ID。
Product ARN	必要 要更新的發現項目產品 ARN。
Note	選用 發現事項附註的新文字。 如果設定這個參數，請一併設定 Note Author 參數。
Note Author	選用 記事作者。 如果設定這個參數，請一併設定 Note 參數。
Severity	選用 偵測結果的新嚴重程度。 可能的值如下： Critical High Medium Low Informational
Verification State	選用 發現項目的新驗證狀態。 可能的值如下： Unknown True Positive False Positive Benign Positive
Confidence	選用 新的發現信心。 最大值為 100。
Criticality	選用 新的發現嚴重程度。 最大值為 100。
Types	選用 以半形逗號分隔的發現項目類型清單，例如 type1,type2。
Workflow Status	選用 發現項目的新工作流程狀態。 可能的值如下： New Notified Resolved Suppressed
Custom Fields	選用 要更新的自訂欄位，例如 Custom_field_1:VALUE, Custom_field_2:VALUE。

動作輸出內容

「更新發現項目」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「Update Finding」動作可能會傳回下列輸出訊息：

輸出訊息	訊息說明
Successfully updated finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub. Action wasn't able to update finding with ID 'FINDING_ID' and Product ARN 'ARN' in AWS Security Hub.	動作成功。
Error executing action "Update Findings". Reason: ERROR_REASON	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「更新發現項目」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True或False

更新洞察

使用「Update Insight」動作，更新 AWS Security Hub 中的洞察。

這項操作不會在 Google SecOps 實體上執行。

動作輸入內容

更新洞察動作需要下列參數：

參數	說明
Insight ARN	必要 洞察的 ARN。
Insight Name	選用 洞察資料的名稱。
Group By Attribute	選用 要用來分組調查結果的屬性名稱。 這項動作會將發現項目歸類在同一項洞察資料下。 預設值為 AWS Account ID。 可能的值如下： AWS Account ID Company Name Status Generator ID Malware Name Process Name Threat Intel Type Product ARN Product Name Record State EC2 Instance Image ID EC2 Instance IPv4 EC2 Instance IPv6 EC2 Instance Key Name EC2 Instance Subnet ID EC2 Instance Type EC2 Instance VPC ID IAM Access Key User Name S3 Bucket Owner Name Container Image ID Container Image Name Container Name Resource ID Resource Type Severity Label Source URL Type Verification State Workflow Status
Filter JSON Object	選用 要套用至發現項目的篩選器。篩選器是 JSON 物件，可讓您指定不同的屬性和值。如要進一步瞭解篩選器設定，請參閱本文的「使用篩選器 JSON 物件參數」一節。

動作輸出內容

「更新洞察」動作會提供下列輸出內容：

動作輸出類型	可用性
案件總覽附件	無法使用
案件總覽連結	無法使用
案件訊息牆表格	無法使用
補充資訊表格	無法使用
JSON 結果	無法使用
輸出訊息	可用
指令碼結果	可用

輸出訊息

「更新洞察」動作可能會傳回下列輸出訊息：

輸出訊息	訊息說明
Successfully updated 'INSIGHT_ARN' insight in AWS Security Hub Action wasn't able to update the 'INSIGHT_ARN' insight.	動作成功。
Error executing action "Update Insight". Reason: ERROR_REASON	動作失敗。 檢查伺服器的連線、輸入參數或憑證。

指令碼結果

下表列出使用「更新洞察」動作時，指令碼結果輸出的值：

指令碼結果名稱	值
is_success	True或False

連接器

如要進一步瞭解如何在 Google SecOps 中設定連接器，請參閱「擷取資料 (連接器)」。

AWS Security Hub - 發現項目連接器

使用 AWS Security Hub - 發現項目連接器，從 AWS Security Hub 擷取發現項目。

連接器需要下列參數：

參數	說明
Product Field Name	必要 儲存產品名稱的欄位名稱。 預設值為 Product Name。
Event Field Name	必要 用於判斷事件名稱 (子類型) 的欄位名稱。 預設值為 alertType。
Environment Field Name	選填 儲存環境名稱的欄位名稱。 如果找不到環境欄位，環境就是預設環境。 預設值為 ""。
Environment Regex Pattern	選填 要在 Environment Field Name 欄位中找到的值上執行的規則運算式模式。這個參數可讓您使用規則運算式邏輯，操控環境欄位。 使用預設值 .* 擷取必要的原始 Environment Field Name 值。 如果規則運算式模式為空值或空白，或環境值為空值，最終環境結果就是預設環境。
Script Timeout (Seconds)	必要 執行目前指令碼的 Python 程序逾時限制。 預設值為 180。
AWS Access Key ID	必要 用於整合的 AWS 存取金鑰 ID。
AWS Secret Key	必要 整合作業中使用的 AWS 私密金鑰。
AWS Default Region	必要 要在整合中使用的 AWS 預設區域，例如 us-west-2。
Lowest Severity To Fetch	必要 要擷取的最低嚴重性發現項目。 可能的值如下： Informational Low Medium High Critical 預設值為 Medium。
Fetch Max Hours Backwards	選用 第一個連接器疊代作業開始前的小時數，系統會從這個時間點開始擷取事件。啟用連接器後，這個參數只會套用至初始連接器疊代一次。 預設值為 1 小時。
Max Findings To Fetch	選填 單一連結器疊代中要處理的發現項目數量。 預設值為 50。
Use whitelist as a blacklist	必要 如果選取這個選項，連接器會將動態清單做為封鎖清單。 預設為未選取。
Verify SSL	必要 如果選取這個選項，Google SecOps 會驗證連線至 AWS Security Hub 伺服器的 SSL 憑證是否有效。 (此為預設選項)。
Proxy Server Address	選用 要使用的 Proxy 伺服器位址。
Proxy Username	選用 用於驗證的 Proxy 使用者名稱。
Proxy Password	選用 用於驗證的 Proxy 密碼。

連接器規則

AWS Security Hub 發現項目連接器支援 Proxy。

還有其他問題嗎？向社群成員和 Google SecOps 專業人員尋求答案。