AWS Security Hub 网络扫描扩展至 GovCloud（美国）

AWS Security Hub 网络扫描于 2026 年 11 月 5 日在 AWS GovCloud (US) 上推出。该功能从互联网探测资源，以检测其实际可达性，而非仅依赖表明哪些资源可能可达的配置。它补充了现有的网络可达性调查结果和 Security Hub Exposures；后者会将调查结果与其他调查结果及资源配置关联起来，以确定更广泛的风险。

网络扫描检测可从互联网访问的资源

网络扫描会发现 AWS 环境中的公共 IP 地址、虚拟机和负载均衡器。它会识别可访问的端口，并确定这些端口背后运行的服务。这样可以确认配置是否使资源能够从互联网访问；而现有的网络可达性调查结果则根据安全组规则和路由表，识别可能使资源可访问的配置。

每个可访问的端口都会生成一条 Security Hub 调查结果，并附上发现的端口和服务的证据。

Security Hub Exposures 关联调查结果以确定风险

Security Hub Exposures 会自动将网络扫描的调查结果与其他调查结果及资源配置关联起来，以确定更广泛的风险。

AWS Security Hub 网络扫描的可用性和设置

现有客户可以在单个账户和区域中启用网络扫描，也可以通过配置策略在整个组织中启用。对于新的 Security Hub 客户，网络扫描默认开启。在所有支持 Security Hub 的 AWS 商业区域和 GovCloud (US) 区域中，网络扫描均包含在 Security Hub Essentials 中，无需额外付费。

有关更多信息，请参阅 AWS Security Hub 用户指南 和 AWS Security Hub 产品页面。AWS 区域服务列表 提供了完整的区域列表。

AWS Security Hub 网络扫描可用性详情

• AWS Security Hub 网络扫描现已在 AWS GovCloud (US) 中受支持。
• 网络扫描会发现公共 IP 地址、虚拟机和负载均衡器，识别可访问的端口，并确定这些端口背后运行的服务。
• 每个可访问的端口都会生成一条 Security Hub 调查结果，并附上发现的端口和服务的证据。
• 现有客户可以在单个账户和区域中启用网络扫描，也可以通过配置策略在整个组织中启用。
• 对于新的 Security Hub 客户，网络扫描默认开启。
• 在所有支持 Security Hub 的 AWS 商业区域和 GovCloud (US) 区域中，网络扫描均包含在 Security Hub Essentials 中，无需额外付费。

常见问题

AWS Security Hub 网络扫描能检测什么？

它会从互联网探测资源，发现 AWS 环境中的公共 IP 地址、虚拟机和负载均衡器，识别可访问的端口，并确定这些端口背后运行的服务。每个可访问的端口都会生成一条调查结果，并附上发现的端口和服务的证据。

现有客户如何启用网络扫描？

现有客户可以在单个账户和区域中启用该功能，也可以通过配置策略在整个组织中启用。对于新的 Security Hub 客户，网络扫描默认开启。

网络扫描需要额外付费吗？

在所有支持 Security Hub 的 AWS 商业区域和 GovCloud (US) 区域中，网络扫描均包含在 Security Hub Essentials 中，无需额外付费。