本文為英文版的機器翻譯版本，如內容有任何歧義或不一致之處，概以英文版為準。

# 在 AWS Security Hub CSPM 中接收問題清單 Explorer
<a name="explorer-securityhub-integration"></a>

[AWS Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) 提供 中安全狀態的完整檢視 AWS。此服務會從各 AWS 帳戶、服務和支援的第三方產品收集安全資料 (稱為*調查結果*)。Security Hub CSPM 調查結果可協助您根據安全產業標準和最佳實務檢查環境、分析您的安全趨勢，以及識別最高優先順序的安全問題。

Security Hub CSPM 會將問題清單傳送至 Amazon EventBridge，其會使用事件規則將問題清單傳送至 Explorer。啟用整合後，如此處所述，您可以在Explorer小工具中檢視 Security Hub CSPM 問題清單，並在 OpsCenter 中檢視問題清單詳細資訊OpsItems。小工具會根據嚴重性提供所有 Security Hub CSPM 調查結果的摘要。Security Hub CSPM 中的新問題清單通常會在建立後的幾Explorer秒鐘內顯示。

**警告**  
記下以下重要資訊：  
Explorer 已與 OpsCenter 整合。啟用與 Security Hub CSPM 的Explorer整合後， OpsCenter會自動OpsItems為 Security Hub CSPM 調查結果建立 。根據您的 AWS 環境，啟用整合可能會產生大量 OpsItems，但需付費。  
繼續之前，請閱讀 Security Hub CSPM OpsCenter整合的相關資訊。本主題包含有關對調查結果和 OpsItems 的變更和更新將如何收費的詳細資訊。如需詳細資訊，請參閱[了解 與 的OpsCenter整合 AWS Security Hub CSPM](OpsCenter-applications-that-integrate.md#OpsCenter-integrate-with-security-hub)。如需 OpsCenter 定價資訊，請參閱 [AWS Systems Manager 定價](https://aws.amazon.com/systems-manager/pricing/)。
如果您在登入管理員帳戶Explorer時在 中建立資源資料同步，系統會自動為管理員和同步中的所有成員帳戶啟用 Security Hub CSPM 整合。啟用後， OpsCenter會自動OpsItems為 Security Hub CSPM 調查結果建立 ，但需付費。如需建立資源資料同步的相關資訊，請參閱 [設定 Systems Manager Explorer 以顯示來自多個帳戶和區域的資料](Explorer-resource-data-sync.md)。

## Explorer 接收之調查結果的類型
<a name="explorer-securityhub-integration-finding-types-received"></a>

Explorer 從 Security Hub CSPM 接收[所有調查結果](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-cwe-integration-types.html#securityhub-cwe-integration-types-all-findings)。當您開啟 Security Hub CSPM 預設設定時，您可以根據Explorer小工具中的嚴重性查看所有調查結果。根據預設， 會OpsItems為關鍵嚴重性問題清單Explorer建立 。您可以手動設定 OpsItems Explorer為其他嚴重性等級 （高、中和低） 建立 。

雖然 Explorer不會OpsItems為資訊調查結果建立 ，但您可以在 Security Hub CSPM 調查結果摘要小工具中檢視資訊操作資料 (OpsData)。 會為所有調查結果Explorer建立 OpsData，無論嚴重性為何。如需 Security Hub CSPM 嚴重性等級的詳細資訊，請參閱 *AWS Security Hub API 參考*中的[嚴重性](https://docs.aws.amazon.com/securityhub/1.0/APIReference/API_Severity.html)。

## 啟用整合
<a name="explorer-securityhub-integration-receive-enable"></a>

本節說明如何啟用和設定 Explorer以開始接收 Security Hub CSPM 問題清單。

**開始之前**  
在設定 Explorer開始接收 Security Hub CSPM 問題清單之前，請先完成下列任務。
+ 啟用和設定 Security Hub CSPM。如需詳細資訊，請參閱*AWS Security Hub 《 使用者指南*》中的[設定 Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-settingup.html)。
+ 登入 AWS Organizations 管理帳戶。Systems Manager 需要存取 ， AWS Organizations 才能OpsItems從 Security Hub CSPM 調查結果建立 。登入管理帳戶後，您可以從Explorer**設定儀表板**索引標籤啟用此存取權，如下列程序所述。如果未顯示**啟用存取**按鈕，表示已啟用受信任存取。如果您未登入 AWS Organizations 管理帳戶，則無法允許存取，Explorer也無法OpsItems從 Security Hub CSPM 調查結果建立 。

**注意**  
如果您的帳戶不屬於 中的組織 AWS Organizations，則不需要啟用 OpsData Sync 受信任存取。本節所述的管理帳戶需求不適用。 AWS Security Hub CSPM 在您要接收問題清單的每個 AWS 區域 位置啟用 ，然後在Explorer**設定儀表板**索引標籤上開啟 **OpsItems Security Hub CSPM 問題清單建立**的 切換開關。

**開始接收 Security Hub CSPM 問題清單**

1. （管理帳戶） 在您要接收問題清單的每個 AWS 區域 AWS Security Hub CSPM 中啟用 。如需詳細資訊，請參閱*AWS Security Hub 《 使用者指南*》中的[設定 Security Hub CSPM](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-settingup.html)。

1. （管理帳戶） 啟用 OpsData Sync 受信任存取 AWS Organizations。您必須先啟用受信任的存取，才能在步驟 3 中開啟管理帳戶自己的 OpsData 來源。步驟 4 和 5，對於成員和委派的管理員帳戶，不依賴受信任的存取。請選擇下列其中一個選項：
   + 在 Explorer中的**設定儀表板**索引標籤中，**OpsItems在 Security Hub CSPM 調查結果建立**的 區段下，選擇**啟用存取**按鈕。
   + 使用 執行下列命令 AWS CLI。

     ```
     aws organizations enable-aws-service-access --service-principal opsdatasync.ssm.amazonaws.com
     ```
**注意**  
如果您登入管理帳戶，但未顯示**啟用存取**按鈕，表示已啟用受信任的存取。若要確認，請執行下列命令。  

   ```
   aws organizations list-aws-service-access-for-organization
   ```
**注意**  
**啟用存取**提醒也會出現在**建立資源資料同步**精靈中，這是來自管理帳戶的常見進入點。

1. （管理帳戶，選用） 只有在您也想要管理帳戶本身的問題清單時，才完成此步驟。開啟 **OpsItems Security Hub CSPM 調查結果切換所建立**的 。根據預設， 會OpsItems針對關鍵嚴重性問題清單Explorer建立 ，而且您可以將其設定為OpsItems針對其他嚴重性等級建立 。

1. （每個成員或委派管理員帳戶） 在相關 AWS Security Hub CSPM 中啟用 AWS 區域。

1. （每個成員或委派管理員帳戶） 開啟 **OpsItems Security Hub CSPM 調查結果建立的** 切換。這些帳戶可以隨時完成此步驟，而不需要依賴步驟 2。如果您Explorer從管理帳戶在 中建立組織範圍的資源資料同步 （也就是來源為整個組織或特定組織單位的同步），此 OpsData 來源會自動為同步中的所有成員帳戶啟用。

## 如何檢視 Security Hub CSPM 的問題清單
<a name="explorer-securityhub-integration-view-received-findings"></a>

下列程序說明如何檢視 Security Hub CSPM 問題清單。

**檢視 Security Hub CSPM 調查結果**

1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。

1. 在導覽窗格中，選擇 **Explorer**。

1. 尋找 **AWS Security Hub CSPM 調查結果摘要**小工具。這會顯示您的 Security Hub CSPM 問題清單。您可以選取嚴重性等級，以檢視對應的 OpsItem 的詳細說明。

## 如何停止接收調查結果
<a name="explorer-securityhub-integration-disable-receive"></a>

下列程序說明如何停止接收 Security Hub CSPM 問題清單。

**停止接收 Security Hub CSPM 問題清單**

1. 在 https：//[https://console.aws.amazon.com/systems-manager/](https://console.aws.amazon.com/systems-manager/) 開啟 AWS Systems Manager 主控台。

1. 在導覽窗格中，選擇 **Explorer**。

1. 選擇**設定**。

1. 選取 **Configure dashboard** (設定儀表板) 標籤。

1. 選取 **Enabled** (已啟用) 滑桿，以關閉 **AWS Security Hub CSPM**。

**重要**  
如果停用 Security Hub CSPM 問題清單的選項在 主控台中呈現灰色，您可以在 中執行下列命令來停用此設定 AWS CLI。登入 AWS Organizations 管理帳戶或 Systems Manager 委派管理員帳戶時，您必須執行 命令。針對 `region` 參數，指定您要在 中停止接收 Security Hub CSPM 問題清單 AWS 區域 的 Explorer。  

```
aws ssm update-service-setting --setting-id /ssm/opsdata/SecurityHub --setting-value Disabled --region {{AWS 區域}}
```
範例如下。  

```
aws ssm update-service-setting --setting-id /ssm/opsdata/SecurityHub --setting-value Disabled --region us-east-1
```