服務管理標準： AWS Control Tower - AWS Security Hub
什麼是服務管理標準： AWS Control Tower？建立標準啟用和停用標準中的控制項檢視啟用狀態和控制狀態刪除標準尋找服務管理標準的欄位格式： AWS Control Tower適用於服務管理標準的控制項： AWS Control Tower

本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

服務管理標準： AWS Control Tower

本節提供服務管理標準的相關資訊： AWS Control Tower。

什麼是服務管理標準： AWS Control Tower？

此標準是專為 AWS Security Hub 和 AWS Control Tower. 它可讓您設定 AWS Control Tower 服務中安全中心偵測控制項 AWS Control Tower 旁邊的主動控制項。

主動式控制有助於確保您 AWS 帳戶 維持合規性，因為它們會標記可能導致政策違規或設定錯誤的動作。Detective 測控制項會偵測您的. AWS 帳戶透過為您的 AWS 環境啟用主動式和偵測控制，您可以在不同開發階段加強安全狀態。

提示

服務管理的標準與 AWS Security Hub 管理的標準不同。例如，您必須在管理服務中建立和刪除服務管理的標準。如需詳細資訊，請參閱 服務管理標準。

在 Security Hub 主控台中API，您可以檢視服務管理標準：以 AWS Control Tower 及其他 Security Hub 標準。

建立標準

只有在中建立標準時，才能使用此標準 AWS Control Tower。 AWS Control Tower 當您第一次使用下列其中一種方法啟用適用的控制項時，會建立標準：

Security Hub 控制項在主控 AWS Control Tower 台中識別為 SH。ControlID(例如, SH. CodeBuild1）。

當您建立標準時，如果您尚未啟用 Security Hub， AWS Control Tower 也會為您啟用 Security Hub。

如果您尚未設定 AWS Control Tower，則無法在資訊安全中心主控台、Security Hub 全中心或中檢視或存取此標準 AWS CLI。API即使您已設定 AWS Control Tower，您也無法在 Security Hub 中檢視或存取此標準，而不必先 AWS Control Tower 使用上述方法之一建立標準。

此標準僅適用於可用AWS 區域AWS Control Tower 位置，包括 AWS GovCloud (US)。

啟用和停用標準中的控制項

在主控 AWS Control Tower 台中建立標準之後，您可以在這兩個服務中檢視標準及其可用控制項。

在您第一次建立標準之後，它沒有任何自動啟用的控制項。此外，當 Security Hub 新增控制項時，系統不會自動啟用服務管理標準： AWS Control Tower。您應該使用下列其中一種方法 AWS Control Tower 來啟用和停用中標準的控制項：

當您變更中控制項的啟用狀態時 AWS Control Tower，此變更也會反映在 Security Hub 中。

但是，停用安全中心中啟用的控制項會 AWS Control Tower 導致控制偏移。中的控制項狀態 AWS Control Tower 顯示為Drifted。您可以選取 AWS Control Tower 主控台中的 [重新註冊 OU]，或停用並重新啟 AWS Control Tower 用上述方法之一中的控制項，以解決此偏移問題。

在中完成啟用和停用動作可 AWS Control Tower 協助您避免控制漂移。

當您在中啟用或停用控制項時 AWS Control Tower，此動作會套用至所有帳戶和區域。如果您在 Security Hub 中啟用和停用控制項 (此標準不建議使用)，則此動作僅適用於目前的帳戶和區域。

注意

中央設定無法用於管理服務管理標準： AWS Control Tower。如果您使用中央設定，則只能使用 AWS Control Tower 服務來針對集中管理的帳戶啟用和停用此標準中的控制項。

檢視啟用狀態和控制狀態

您可以使用下列其中一種方法來檢視控制項的啟用狀態：

  • Security Hub 主控台、Security Hub API 或 AWS CLI

  • AWS Control Tower 控制台

  • AWS Control Tower API以查看已啟用控制項的清單 (呼叫 ListEnabledControlsAPI)

  • AWS CLI 以查看已啟用控件的列表（運行list-enabled-controls命令）

除非您在 Security Hub 中 AWS Control Tower 明確啟用該控制項，否則您Disabled在中停用的控制項在 Security Hub 中的啟用狀態為。

Security Hub 會根據控制項發現項目的工作流程狀態和符合性狀態來計算控制項狀態。如需啟用狀態和控制狀態的詳細資訊，請參閱檢視控制項的詳細資訊。

Security Hub 會根據控制項狀態計算服務管理標準： AWS Control Tower的安全分數。此分數僅適用於資訊安全中心。此外，您只能檢視安全中心中的控制項發現項目。在中不提供標準安全分數和控制項發現項目 AWS Control Tower。

注意

當您啟用服務管理標準的控制項時： AWS Control Tower，Security Hub 最多可能需要 18 小時才能針對使用現有 AWS Config 服務連結規則的控制項產生發現項目。如果您已在 Security Hub 中啟用其他標準和控制項，則可能會有現有的服務連結規則。如需詳細資訊，請參閱 執行安全檢查的排程。

刪除標準

您可以使用下列其中一種方法停用所有適用的控制項， AWS Control Tower 來刪除中的此標準：

停用所有控制項會刪除中所有受管理帳戶和受控管區域中的標準 AWS Control Tower。刪 AWS Control Tower 除中的標準會將其從 Security Hub 主控台的 [標準] 頁面中移除，而且您無法再使用 Security Hub API 或進行存取 AWS CLI。

注意

停用安全中心標準中的所有控制項並不會停用或刪除標準。

停用 Security Hub 服務會移除服務管理的標準：以 AWS Control Tower 及您已啟用的任何其他標準。

尋找服務管理標準的欄位格式： AWS Control Tower

當您建立服務管理標準： AWS Control Tower 並為其啟用控制項時，您將開始接收 Security Hub 中的控制項發現項目。安全中心報告控制AWS 安全性發現格式 (ASFF). 這些是此標準的 Amazon 資源名稱 (ARN) 和ASFF值GeneratorId：

  • 標準 ARN — arn:aws:us-east-1:securityhub:::standards/service-managed-aws-control-tower/v/1.0.0

  • GeneratorId – service-managed-aws-control-tower/v/1.0.0/CodeBuild.1

如需服務管理標準的搜尋範例： AWS Control Tower，請參閱樣本控制結果。

適用於服務管理標準的控制項： AWS Control Tower

服務管理標準： AWS Control Tower 支援屬於 AWS 基礎安全性最佳作法 () FSBP 標準一部分的控制項子集。從下表選擇一個控制項以檢視控制項的相關資訊，包括失敗發現項目的修正步驟。

下列清單顯示服務管理標準的可用控制項： AWS Control Tower。控制區域限制符合標準中的必要控制區域限制。FSBP此清單顯示與標準無關的安全控制。IDs在 AWS Control Tower 主控台中，控制IDs項格式化為 SH。ControlID(例如 SH. CodeBuild1）。在 Security Hub 中，如果您的帳戶中已關閉合併控制項發現項目，則該ProductFields.ControlId欄位會使用標準型控制 ID。基於標準的控制 ID 格式化為 CT。ControlId(例如，CT. CodeBuild1）。

如需有關此標準的詳細資訊，請參閱AWS Control Tower 使用者指南中的 Security Hub 控制項。