本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。
在 Security Hub 中停用的建議控制項
我們建議禁用一些 AWS Security Hub 控制以減少發現噪音並限制成本。
使用全域資源的控制項
一些 AWS 服務 支持全球資源，這意味著您可以從任何地方訪問資源 AWS 區域。 為了節省成本 AWS Config，您可以停用記錄除一個區域以外的所有全域資源。不過，Security Hub 靜止影像會在啟用控制項的所有區域執行安全性檢查，並根據每個區域每個帳戶的檢查次數向您收費。因此，為了減少發現噪音並節省 Security Hub 的成本，您還應該在除記錄全球資源的區域以外的所有區域中停用涉及全域資源的控制項。
如果控制項涉及全域資源，但只能在一個「區域」中使用，則在該區域中停用該控制項可防止您取得基礎資源的任何發現項目。在這種情況下，我們建議您保持啟用控制項。使用跨區域彙總時，可使用控制項的區域應為彙總區域或其中一個連結的區域。下列控制項涉及全域資源，但僅適用於單一區域：
所有 CloudFront 控制項 — 僅在美國東部 (維吉尼亞北部) 提供
GlobalAccelerator.1 — 僅在美國西部 (奧勒岡) 提供
路線 53.2 — 僅在美國東部 (維吉尼亞北部) 提供
WAF.1、WAF .6、. WAF 7 和 WAF .8 — 僅在美國東部 (維吉尼亞北部) 提供
注意
如果您使用中央組態，Security Hub 會自動停用與所有區域 (主區域除外) 中涉及全域資源的控制項。您選擇透過組態原則啟用的其他控制項在所有可用的區域中啟用這些控制項。若要將這些控制項的搜尋結果限制為只有一個區域，您可以更新 AWS Config 記錄器設置並關閉除家庭區域以外的所有區域的全局資源記錄。當您使用中央設定時，您缺少在本地區域或任何連結區域中無法使用的控制項的涵蓋範圍。如需中央規劃的更多資訊，請參閱了解安全中心中的中央配置。
對於具有定期排程類型的控制項，必須在 Security Hub 中停用這些控制項，才能防止計費。設定 AWS Config 參數includeGlobalResourceTypesfalse不會影響定期 Security Hub 控制項。
以下是使用全域資源的安全中樞控制項清單：
CloudTrail 記錄控制項
此控制項處理使用 AWS Key Management Service (AWS KMS) 加密 AWS CloudTrail 跟踪日誌。如果您在集中式記錄帳戶中記錄這些追蹤，則只需在帳戶和發生集中記錄的區域中啟用此控制項。
注意
如果您使用中央設定，則控制項的啟用狀態會在主「區域」和「連結的區域」之間保持一致。您無法在某些地區停用控制項，並在其他地區啟用該控制項。在此情況下，請抑制下列控制項的發現項目，以減少尋找雜訊。
CloudWatch 警報控制
如果您偏好使用 Amazon GuardDuty 進行異常偵測，而不是 Amazon CloudWatch 警示，您可以停用這些控制項，這些控制將重點放在 CloudWatch 警示上。
