在 Security Hub 中筛选和分组搜索结果 - AWS Security Hub
添加或编辑过滤器对结果进行分组删除筛选条件或分组属性

本文属于机器翻译版本。若本译文内容与英语原文存在差异，则一律以英文原文为准。

在 Security Hub 中筛选和分组搜索结果

在 Security Hub 控制台的 “调查结果” 页面、“集成” 页面或 “见解” 页面上显示发现结果列表时，将根据记录状态和工作流程状态对列表进行预过滤。这是用于见解或集成的筛选条件的补充。

记录状态表示查找结果是处于活动状态还是已存档。默认情况下，查找结果列表仅显示有效的查找结果。查找结果提供者可以将查找结果存档。 AWS Security Hub 如果关联的资源被删除，还会自动存档控制结果。

工作流状态表示调查结果的状态。默认情况下，结果列表仅显示工作流程状态为 NEW 或 NOTIFIED 的结果。您可以更新调查结果的工作流程状态。

如果您启用了查找结果聚合并登录到聚合区域，则可以在 “调查结果” 和 “见解” 页面上按区域筛选结果。

有关使用控制结果的信息，请参见对控制结果进行筛选和排序。此页面上的信息适用于调查结果、见解和集成页面上的查找列表。

添加或编辑过滤器

要更改列表的范围，您可以向列表添加筛选器。

您最多可以按 10 个属性进行筛选。对于每个属性，您最多可以提供 20 个筛选值。

筛选查找结果列表时，Security Hub 会将AND逻辑应用于筛选器集。换句话说，仅在结果符合所有提供的筛选条件时才被视为匹配的结果。例如，如果您添加 GuardDuty 为产品名称的筛选器和资源类型的筛选器，则匹配的结果必须符合这两个条件。AwsS3Bucket

不过，Security Hub 会对使用的属性相同但值不同的筛选条件应用 OR 逻辑。例如，您可以将两者 GuardDuty 和 Amazon Inspector 添加为商品名称的筛选值。在这种情况下，如果调查结果由任一用户 GuardDuty 或 Amazon Inspector 生成，则与之匹配。

向查找结果列表中添加筛选器（控制台）

  1. 打开 AWS Security Hub 控制台位于https://console.aws.amazon.com/securityhub/。

  2. 要显示调查发现列表，请执行以下操作之一：

    • 在 Security Hub 导航窗格中，选择结果。

    • 在 Security Hub 导航窗格中，选择见解。选择见解。然后在结果列表上，选择一个见解结果。

    • 在 Security Hub 导航窗格中，选择集成。选择查看集成的调查发现。

  3. 在 “添加筛选器” 框中，为 “过滤器” 选择一个过滤器。

    当您按公司名称或产品名称筛选时，控制台将使用顶层CompanyName和ProductName字段。API使用中的值ProductFields。

  4. 选择筛选器匹配类型。

    对于字符串筛选条件，您可以从以下比较选项中进行选择：

    • 是——查找与筛选值完全匹配的值。

    • 以...开头——查找以筛选值开头的值。

    • 不是——查找与筛选值不匹配的值。

    • 不以...开头——查找不以筛选值开头的值。

    对于数值筛选条件，您可以选择是提供单个数字简单还是数值范围范围。

    对于日期或时间筛选条件，您可以选择是提供从当前日期时间开始的时间长度滚动窗口还是提供具体日期范围固定范围。

    添加多个筛选条件具有以下交互作用：

    • 是和以...开头筛选条件由“或”连接。如果一个值包含任何筛选条件值，则该值匹配。例如，如果您将 “严重性” 标签指定为 CRITICAL，“严重性” 标签为 HIGH，则结果将包括严重性和高严重性调查结果。

    • 不是，也不是以过滤器开头AND。仅当值不包含任何这些筛选条件值时才匹配。例如，如果您将 “严重性标签” 指定为 “不是”LOW，“严重性标签” 不是 MEDIUM，则结果将不包括低或中等严重性调查结果。

    如果在某个字段上有 is 筛选器，则不能在同一个字段上使用 i s not 或 a 不以过滤器开头。

  5. 指定筛选器值。

    对于字符串过滤器，筛选器值区分大小写。

    例如，对于来自 Security Hub 的调查发现，产品名称为 Security Hub。如果您使用EQUALS运算符来查看 Security Hub 的结果，则必须输入Security Hub作为筛选值。如果输入 security hub，则不会显示任何结果。

    同样，如果您使用PREFIX运算符并输入Sec，则会显示 Security Hub 的搜索结果。如果您输入 sec，则不会显示任何 Security Hub 结果。

  6. 选择 应用。

对于现有筛选器，您可以更改筛选器值。在筛选的查找结果列表中，选择筛选器。在 “编辑筛选器” 框中，选择新值，然后选择 “应用”。

对结果进行分组

除了变更筛选条件外，您还可以根据所选属性的值对结果进行分组。

对调查发现进行分组时，调查发现列表将替换为匹配调查发现中选定属性的值列表。对于每个值，列表显示与其他筛选条件匹配的调查发现数。

例如，如果您按以下方式对发现结果进行分组 AWS 账户 ID，您会看到账户标识符列表，以及每个账户的匹配结果数量。

请注意，Security Hub 只能显示 100 个值。如果分组值超过 100 个，则只能看到前 100 个。

选择属性值时，将显示该值的匹配调查发现列表。

在发现结果列表中对结果进行分组（控制台）

  1. 打开 AWS Security Hub 控制台位于https://console.aws.amazon.com/securityhub/。

  2. 要显示调查发现列表，请执行以下操作之一：

    • 在 Security Hub 导航窗格中，选择结果。

    • 在 Security Hub 导航窗格中，选择见解。选择见解。然后在结果列表上，选择一个见解结果。

    • 在 Security Hub 导航窗格中，选择集成。选择查看集成的调查发现。

  3. 在分组依据下拉列表中，选择要用于分组的属性。

删除筛选条件或分组属性

要删除筛选条件或分组属性，请选择 x 图标。

列表会自动更新以反映更改。删除分组属性时，列表将从字段值列表更改回调查发现列表。