AWS Security Hub에서 (Id로 필터링된) 특정 보안 결과를 읽고 기본 컨텍스트 옵션을 실행합니다:```bash
./metahub --sh-filters Id=arn:aws:securityhub:us-east-1:123456789012:security-control/CloudFront.1/finding/8bd4d049-dcbc-445b-a5d1-595d8274b4c1

AWS 계정에 영향을 미치는 모든 보안 결과물 중 ACTIVE 상태인 것들(AwsAccountId 및 RecordState로 필터링됨)을 읽고, 태그 `Environment` 및 값 `stg`가 있는 리소스에 대해 컨텍스트 옵션 `config` 및 `tags`를 실행합니다.```bash
./metahub --sh-filters RecordState=ACTIVE AwsAccountId=123456789012 --mh-filters-tags Environment=stg --context config tags

Powerpipe에서 보안 결과를 입력 파일로 읽어 들이고 기본 컨텍스트 옵션을 실행합니다:```bash
powerpipe benchmark run aws_compliance.benchmark.all_controls --export asff
./metahub --inputs file-asff --input-asff /path/to/powerpipe-findings.json.asff

# Context

**MetaHub**에서 **context**는 영향을 받는 리소스의 **구성(configuration)**, **연관(associations)**, **로그(logs)**, **태그(tags)**, **계정(account)** 과 같은 정보를 의미합니다.

**MetaHub**는 영향을 받는 리소스에 그치지 않고, 연결되거나 첨부된 리소스도 함께 분석합니다. 예를 들어, Security Group에 보안 결과가 있다면, **MetaHub**는 해당 Security Group과 그와 연결된 EC2 인스턴스 등 모든 관련 리소스를 분석합니다. 각 관련 리소스에 대해 **MetaHub**는 컨텍스트를 가져옵니다. Security Group이 EC2 인스턴스에 연결된 경우, **MetaHub**는 인스턴스와 그와 연결된 IAM 역할, 정책 등을 포함한 모든 연관성을 분석합니다. 하나의 Security Group 보안 결과에서 **MetaHub**는 Security Group, EC2 인스턴스, IAM 역할, IAM 정책의 컨텍스트를 가져옵니다. 이는 보안 결과의 영향을 이해하는 데 중요합니다.

**context** 모듈은 다섯 가지 주요 부분으로 구성됩니다: [**config**](#config) ([**associations**](#associations) 포함), [**tags**](#tags), [**cloudtrail**](#cloudtrail), [**account**](#account) 입니다. 기본적으로 **config**, **tags**, **account**만 활성화되어 있지만, `--context` 옵션을 사용하여 이 동작을 변경할 수 있습니다 (예: `--context config tags cloudtrail account`를 사용하면 모든 컨텍스트 키를 활성화하거나, `--context config`를 사용하면 config와 associations 키만 활성화).

## Config

`config` 키 아래에는 영향을 받는 리소스의 중요한 구성 정보를 확인할 수 있습니다. 예를 들어, 영향 받는 리소스가 S3 Bucket인 경우 버킷 정책, ACL, 암호화 구성 등에 대한 정보를 찾을 수 있습니다. 영향 받는 리소스가 EC2 인스턴스인 경우 키, 공인 및 사설 IP, 메타데이터 등에 대한 정보를 찾을 수 있습니다. **MetaHub**가 가져오는 구성 정보는 리소스 유형별로 정의됩니다. 더 많은 구성 정보를 추가하려면 [contributing](#contributing)을 참조하세요.

다음 옵션을 사용하여 config 출력을 기반으로 결과를 필터링할 수 있습니다: `--mh-filters-config <key> {True/False}` ([config filters](#config-filters) 참조).

<details>
  <summary>S3 버킷 config 키 예시</summary>```json
"config": {
  "resource_policy": {
    "Version": "2012-10-17",
    "Statement": [
      {
        "Sid": "Test",
        "Effect": "Allow",
        "Principal": {
          "Service": "config.amazonaws.com"
        },
        "Action": "s3:GetBucketAcl",
        "Resource": "arn:aws:s3:::metahub-bucket",
        "Condition": {
          "StringEquals": {
            "AWS:SourceAccount": "123456789012"
          }
        }
      },
    ]
  },
  "website_enabled": false,
  "bucket_acl": [
    {
      "Grantee": {
        "DisplayName": "gabriel.soltz",
        "ID": "1234564bd76c6c64080717b68eafaa588b41706daaf22d3d0705b398bd7cbd57",
        "Type": "CanonicalUser"
      },
      "Permission": "FULL_CONTROL"
    }
  ],
  "cannonical_user_id": "1234564bd76c6c64080717b68eafaa588b41706daaf22d3d0705b398bd7cbd57",
  "public_access_block_enabled": {
    "BlockPublicAcls": true,
    "IgnorePublicAcls": true,
    "BlockPublicPolicy": true,
    "RestrictPublicBuckets": true
  },
  "account_public_access_block_enabled": false,
  "public": false,
  "bucket_encryption": [
    {
      "ApplyServerSideEncryptionByDefault": {
        "SSEAlgorithm": "AES256"
      },
      "BucketKeyEnabled": false
    }
  ]
},

예를 들어, 영향을 받는 리소스에 `HIGH`와 `LOW` 심각도의 두 가지 발견 사항이 있는 경우, **Impact Findings Score**는 다음과 같습니다:```sh
SUM(HIGH (3) / CRITICAL (4) + LOW (0.5) / CRITICAL (4)) = 0.875

## AWS 자격 증명 및 Docker

AWS 호스트 머신에 이미 로그인되어 있다면, Docker 컨테이너 내에서 동일한 자격 증명을 원활하게 사용할 수 있습니다. 이를 위해 필요한 환경 변수를 컨테이너에 전달하거나 자격 증명 파일을 마운트하면 됩니다.

예를 들어, 다음 명령을 실행할 수 있습니다:```sh
docker run -e AWS_DEFAULT_REGION -e AWS_ACCESS_KEY_ID -e AWS_SECRET_ACCESS_KEY -e AWS_SESSION_TOKEN -ti public.ecr.aws/n2p8q5p4/metahub:latest ./metahub -h

# Lambda로 실행하기

**MetaHub**는 Lambda/Serverless를 지원합니다! 추가 인프라 없이 AWS Lambda 함수에서 MetaHub를 직접 실행할 수 있습니다.

Lambda 함수에서 MetaHub를 실행하면 정의된 트리거를 기반으로 실행을 자동화할 수 있습니다. 예를 들어 다음과 같은 작업이 가능합니다:

- 새로운 보안 결과가 있을 때마다 MetaHub Lambda 함수를 트리거하여 해당 결과를 AWS Security Hub에 보강합니다.
- 새로운 보안 결과가 있을 때마다 Context 기반 억제를 위해 MetaHub Lambda 함수를 트리거합니다.
- 보안 결과의 영향을 받은 소유자를 Context 기반으로 식별하고 내부 시스템을 사용하여 할당하기 위해 MetaHub Lambda 함수를 트리거합니다.
- 보강된 컨텍스트로 티켓을 생성하기 위해 MetaHub Lambda 함수를 트리거합니다.

## Lambda 배포

Lambda 함수 배포를 위한 Terraform 코드는 `terraform/` 폴더에 제공됩니다.

다음 명령어를 실행하기만 하면 됩니다:```sh
cd terraform
terraform init
terraform apply

또는 자격 증명을 환경 변수로 내보낼 수 있습니다.```sh
export AWS_DEFAULT_REGION="us-east-1"
export AWS_ACCESS_KEY_ID= "ASXXXXXXX"
export AWS_SECRET_ACCESS_KEY= "XXXXXXXXX"
export AWS_SESSION_TOKEN= "XXXXXXXXX"

# Configuring Context

여러 AWS 계정 설정(여러 AWS 계정의 조사 결과를 AWS Security Hub에서 집계하는 경우)에서 MetaHub를 실행하는 경우, Context 쿼리를 위해 수임할 역할을 제공해야 합니다. 영향을 받는 리소스가 AWS Security Hub 조사 결과와 동일한 AWS 계정에 있지 않기 때문입니다. `--mh-assume-role`은 영향을 받는 계정에서 직접 리소스에 연결하는 데 사용됩니다. 이 역할은 리소스를 설명할 수 있는 충분한 정책을 보유해야 합니다.

## 컨텍스트를 위한 IAM 정책

컨텍스트에 필요한 최소 정책에는 관리형 정책 `arn:aws:iam::aws:policy/SecurityAudit`과 다음 작업이 포함됩니다:

- `tag:GetResources`
- `lambda:GetFunction`
- `lambda:GetFunctionUrlConfig`
- `cloudtrail:LookupEvents`
- `account:GetAlternateContact`
- `organizations:DescribeAccount`
- `iam:ListAccountAliases`

# 입력

MetaHub는 자체 API를 사용하여 AWS Security Hub에서 직접 보안 조사 결과를 읽을 수 있습니다. Security Hub를 사용하지 않는 경우 ASFF 호환 스캐너를 사용할 수 있습니다. 대부분의 클라우드 보안 스캐너는 Prolwer, Steampipe, Trivy 등과 같이 ASFF 형식을 지원합니다.

입력 ASFF 파일에서 읽으려면 옵션(`--inputs file-asff`)을 사용하고 파일 경로를 제공해야 합니다. 여러 파일을 공백으로 구분하여 제공할 수 있습니다.:```sh
./metahub.py --inputs file-asff --input-asff path/to/the/file.json.asff path/to/the/file2.json.asff

파일을 입력으로 사용할 때는 `--sh-filters` 옵션을 사용하여 결과를 필터링할 수 없습니다. 이 옵션은 필터링을 위해 AWS API에 의존하기 때문입니다. `--update-findings` 또는 `--enrich-findings` 옵션도 사용할 수 없습니다. 해당 결과가 AWS Security Hub에 없기 때문입니다. 두 소스를 동시에 읽는 경우 AWS Security Hub의 결과만 업데이트됩니다.

MetaHub는 ASFF 형식이 올바르게 포맷되지 않은 경우 몇 가지 **수정 메커니즘**도 구현합니다. 이는 ASFF를 최대한 유용하게 만들기 위한 최선의 접근 방식이지만 완벽하지 않으며 소스 스캐너에서 수정이 필요합니다.

- 리소스 및 루트 수준에서 `Region` 키가 누락된 경우, MetaHub는 영향을 받은 리소스의 ARN을 기반으로 리전을 계산합니다.
- ASFF 파일이 ASFF 리소스 유형을 올바르게 설정하지 않은 경우, MetaHub는 [aws-arn](https://github.com/gabrielsoltz/aws-arn) 라이브러리를 사용하여 영향을 받은 리소스의 ARN을 기반으로 계산합니다.
- `SeverityLabel`, `Workflow`, `RecordState`, `Compliance`, `Id`, `ProductArn` 또는 `StandardsControlArn`과 같은 다른 필드가 누락된 경우 MetaHub는 이를 `Unknown`으로 설정합니다.

# Outputs

**MetaHub**는 다양한 프로그래매틱 및 시각적 출력을 생성할 수 있습니다. 기본적으로 모든 출력 모드가 활성화됩니다: `json-short`, `json-full`, `json-statistics`, `json-inventory`, `html`, `csv`, `xlsx`. 특정 출력 모드만 생성하려면 `--output-modes` 옵션을 원하는 출력 모드와 함께 사용할 수 있습니다. 출력은 실행 날짜와 함께 `outputs/` 폴더에 저장됩니다.

예를 들어 `json-short` 출력만 생성하려면 다음과 같이 사용합니다:```sh
./metahub.py --output-modes json-short

**MetaHub**는 동일한 리소스에 영향을 미치는 보안 결과를 `findings` 키 아래에 모두 구성하여, 섀도잉(두 검사가 동일한 문제를 참조하지만 한 검사가 다른 검사보다 더 일반적인 방식으로 참조하는 경우)과 중복(두 개 이상의 스캐너를 사용하여 동일한 문제를 여러 번 발견하는 경우)을 방지하려고 합니다. 이 동작은 `json-short`, `json-full` 및 `html` 출력에서 명확히 확인할 수 있습니다.

- [JSON](#json)
- [HTML](#html)
- [CSV](#csv)
- [XLSX](#xlsx)
- [SQLite](#sqlite)

## JSON

> :info: JSON 출력을 대화형으로 탐색하려면 [fx](https://github.com/antonmedv/fx) 도구를 사용할 수 있습니다.

### JSON-Full

영향을 받은 리소스를 ARN을 키로 사용하여 표시하고, 해당 리소스에 영향을 미치는 결과를 `findings` 키 아래에 목록으로 표시합니다. 결과 외에도 다음 키를 얻을 수 있습니다: `ResourceType`, `Region`, `AwsAccountId`, `associations`, `config`, `tags`, `account`, `cloudtrail`, `impact`.```json
"arn:aws:ec2:eu-west-1:1234567890:instance/i-0a40b2be25dbac0ac": {           --> The affected resource ARN
  "findings": [                                                              --> The findings affecting the resource
    {
      "EC2 instances should use Instance Metadata Service Version 2 (IMDSv2)": {   --> The finding title
        "SeverityLabel": "HIGH",                                                   --> The finding severity label
        "Workflow":{                                                               --> The finding workflow
          "Status": "NEW",
        },
        "RecordState": "ACTIVE",                                                   --> The finding record state
        "Compliance":{                                                             --> The finding compliance
          "Status": "FAILED",
        },
        "Id": "arn:aws:securityhub:eu-west-1:123456789012:security-control/EC2.8/finding/a1d4f19f-453e-4c3c-b486-8443c73e84f1",
        "ProductArn": "arn:aws:securityhub:eu-west-1::product/aws/securityhub",
      }
    },
    {"EC2 instances should be managed by AWS Systems Manager": {...}},        --> Another finding title
    {"EC2 instances should not have a public IPv4 address": {...}}          --> Another finding title
  ],
  "ResourceType": "AwsEc2Instance",                                         --> The affected resource type
  "Region": "eu-west-1",                                                    --> The affected resource region
  "AwsAccountId": "1234567890",                                             --> The affected resource account id
  "associations": {                                                         --> The associations of the affected resource
    "security_groups": {},                                                  --> The security groups associated with the affected resource
    "iam_roles": {},                                                        --> The IAM roles associated with the affected resource
    "volumes": {},                                                          --> The volumes associated with the affected resource
    "autoscaling_groups": {},                                               --> The autoscaling groups associated with the affected resource
    "vpcs": {},                                                             --> The VPCs associated with the affected resource
    "subnets": {},                                                          --> The subnets associated with the affected resource
  },
  "config": {                                                              --> The configuration of the affected resource (based on it's type)
    "public_ip": "200.200.200.200",                                       --> The public IP of the affected resource, if any
    "private_ip": "10.10.10.10",                                        --> The private IP of the affected resource, if any
    "key": "ssh-key",                                                  --> The key used for the affected resource, if any
    "metadata_options": {                                             --> The metadata options of the affected resource, if any
      "State": "applied",
      "HttpTokens": "required",
      "HttpPutResponseHopLimit": 1,
      "HttpEndpoint": "enabled",
      "HttpProtocolIpv6": "disabled",
      "InstanceMetadataTags": "disabled"
    },
  },
  "tags": {                                                            --> The tags of the affected resource
    "Name": "test",                                                  --> The tag key and value
    "Env": "prod",
    "awsApplication": "arn:aws:resource-groups:eu-west-1:1234567890:group/app1/0c8vpbjkzeeffsz2cqgxpae7b2"
  },
  "account": {                                                            --> The account of the affected resource
    "Alias": "prod",                                                --> The account alias
    "AlternateContact": {},                                        --> The alternate contact of the account, if any
    "Organizations": {                                            --> The organization of the account, if any
      "Id": "o-1234567890",
      "Arn": "arn:aws:organizations::1234567890:organization/o-1234567890/o-1234567890",
      "MasterAccountId": "1234567890",
      "MasterAccountArn": "arn:aws:organizations::1234567890:account/o-1234567890/1234567890",
      "MasterAccountEmail": "",
      "Details": {
        "ParentId": "p-k1234567890",
        "ParentType": "ROOT",
        "OU": "ROOT",
        "Policies": {                                           --> The policies of the account, if any
          "p-FullAWSAccess": {...}                              --> The policy name and policy
        }
      }
    },
  },
  "cloudtrail": {                                                     --> The CloudTrail events affecting the affected resource
    "RunInstances": {                                                --> The CloudTrail event name
      "Username": "test",                                            --> The username of the event, if any
      "EventTime": "2021-01-01T00:00:00Z",
      "EventId": "12345678-1234-1234-1234-123456789012",
    }
  },
  "impact": {                                                        --> The impact of the affected resource
    "exposure": {...},                                             --> The exposure impact
    "access": {...},                                              --> The access impact
    "encryption": {...},                                         --> The encryption impact
    "status": {...},                                            --> The status impact
    "environment": {...},                                      --> The environment impact
    "application": {...},                                     --> The application impact
    "owner": {...},                                          --> The owner impact
    "findings": {...},                                      --> The findings impact
    "score": {...}                                         --> The total impact score
  }
}

### JSON-Inventory

모든 리소스와 해당 ARN 목록을 표시합니다.```json
[
  "arn:aws:sagemaker:us-east-1:ofuscated:notebook-instance/obfuscated",
  "arn:aws:sagemaker:eu-west-1:ofuscated:notebook-instance/obfuscated"
]

## HTML

풍부한 HTML 보고서를 생성하여 발견 내용에 컨텍스트를 추가할 수 있습니다.

HTML 보고서는 여러 면에서 대화형입니다:

- 열을 추가/제거할 수 있습니다.
- 모든 열을 기준으로 정렬 및 필터링할 수 있습니다.
- 모든 열을 기준으로 자동 필터링할 수 있습니다.
- 발견 내용을 그룹화/그룹 해제할 수 있습니다.
- 또한 해당 데이터를 xlsx, CSV, HTML 및 JSON으로 다운로드할 수 있습니다.

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/6190/21d785d2413698ed7cb3e9dc7e9b51dc6550395a598d777abc9fc358f8a23573.png" alt="html-example"/>
</p>

## CSV

발견 내용의 CSV 보고서를 생성하여 컨텍스트를 추가할 수 있습니다.

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/6190/66f15350123702e1cc317e47938401853bdcb1d86dad0ad4e48e73f15e00dd76.png" alt="csv-example"/>
</p>

## XLSX

CSV와 유사하지만 더 많은 서식 옵션이 있습니다.

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/6190/953a77917dc5b06e5185e6cb882ba7e711d785861e184599f10cd472efc42db9.png" alt="xlsx-example"/>
</p>

## HTML, CSV 또는 XLSX 출력 사용자 정의

`--output-tag-columns` 및 `--output-config-columns`(열 목록) 옵션을 사용하여 HTML, CSV 및 XLSX 출력에서 열로 펼칠 컨텍스트 키를 사용자 정의할 수 있습니다. 지정한 키가 해당 리소스에 존재하지 않으면 비어 있게 됩니다. 또한 구성 파일에서 이러한 열을 기본값으로 설정할 수 있습니다([사용자 정의 구성](#customizing-configuration) 참조).

예를 들어, 태그가 포함된 HTML 출력을 생성하고 보고서에 "Owner" 및 "Environment" 열을 추가하려면 다음을 사용하십시오:```sh
./metahub --output-modes html --output-tag-columns Owner Environment

### 나만의 대시보드 구축하기

Powerpipe로 대시보드를 구축하는 것은 매우 쉽고 강력합니다. 자세한 내용은 [Powerpipe 문서](https://powerpipe.io/docs)를 확인하세요.

아래에서 SQLite 데이터베이스에서 사용할 수 있는 테이블을 확인할 수 있습니다.

#### 리소스

| Column Name                     | Data Type | Description                                                                                    |
| ------------------------------- | --------- | ---------------------------------------------------------------------------------------------- |
| resource_arn                    | VARCHAR   | 리소스의 Amazon Resource Name (ARN)으로, 기본 키 역할을 합니다.                                  |
| resource_type                   | VARCHAR   | 리소스의 유형입니다.                                                                           |
| resource_region                 | VARCHAR   | 리소스가 위치한 리전입니다.                                                                    |
| resource_account_id             | VARCHAR   | 리소스와 연결된 계정 ID입니다. accounts(account_id)를 참조하는 외래 키입니다.                    |
| resource_account_alias          | VARCHAR   | 리소스와 연결된 계정의 별칭입니다.                                                              |
| resource_tags                   | TEXT      | 리소스와 연결된 태그입니다.                                                                    |
| resource_exposure               | VARCHAR   | 리소스의 노출 수준입니다.                                                                      |
| resource_access                 | VARCHAR   | 리소스의 액세스 수준입니다.                                                                    |
| resource_encryption             | VARCHAR   | 리소스의 암호화 상태입니다.                                                                    |
| resource_status                 | VARCHAR   | 리소스의 현재 상태입니다.                                                                      |
| resource_application            | VARCHAR   | 리소스와 연결된 애플리케이션입니다.                                                             |
| resource_environment            | VARCHAR   | 리소스가 위치한 환경(예: 프로덕션, 스테이징)입니다.                                             |
| resource_owner                  | VARCHAR   | 리소스의 소유자입니다.                                                                         |
| resource_score                  | INTEGER   | 리소스와 연결된 점수입니다.                                                                    |
| resource_findings_score         | INTEGER   | 리소스와 연결된 결과를 기반으로 한 점수입니다.                                                  |
| resource_findings_critical      | INTEGER   | 심각한 결과의 개수입니다.                                                                      |
| resource_findings_high          | INTEGER   | 높은 심각도 결과의 개수입니다.                                                                 |
| resource_findings_medium        | INTEGER   | 중간 심각도 결과의 개수입니다.                                                                 |
| resource_findings_low           | INTEGER   | 낮은 심각도 결과의 개수입니다.                                                                 |
| resource_findings_informational | INTEGER   | 정보 제공 결과의 개수입니다.                                                                   |

#### 결과

| Column Name              | Data Type | Description                                                        |
| ------------------------ | --------- | ------------------------------------------------------------------ |
| finding_id               | VARCHAR   | 결과의 고유 식별자로, 기본 키 역할을 합니다.                         |
| finding_title            | VARCHAR   | 결과의 제목입니다.                                                  |
| finding_severity         | VARCHAR   | 결과의 심각도입니다.                                                |
| finding_workflowstatus   | VARCHAR   | 결과의 워크플로 상태입니다.                                         |
| finding_recordstate      | VARCHAR   | 결과의 레코드 상태입니다.                                           |
| finding_compliancestatus | VARCHAR   | 결과의 규정 준수 상태입니다.                                        |
| finding_productarn       | VARCHAR   | 결과를 생성하는 제품의 ARN입니다.                                    |
| finding_resource_arn     | VARCHAR   | 연결된 리소스의 ARN입니다.                                          |

#### 계정

| Column Name                     | Data Type | Description                                                                   |
| ------------------------------- | --------- | ----------------------------------------------------------------------------- |
| account_id                      | INTEGER   | 계정의 고유 식별자로, 기본 키 역할을 합니다.                                    |
| account_alias                   | VARCHAR   | 계정의 별칭입니다.                                                             |
| account_organizations_id        | VARCHAR   | 계정이 속한 조직의 ID입니다.                                                    |
| account_organizations_arn       | VARCHAR   | 계정이 속한 조직의 ARN입니다.                                                   |
| account_master_account_id       | VARCHAR   | 이 계정이 AWS Organizations의 일부인 경우 마스터 계정의 ID입니다.               |
| account_master_account_email    | VARCHAR   | 마스터 계정과 연결된 이메일 주소입니다.                                         |
| account_alternate_contact_type  | VARCHAR   | 대체 연락처 유형(예: 결제, 보안)입니다.                                         |
| account_alternate_contact_name  | VARCHAR   | 대체 연락처의 이름입니다.                                                       |
| account_alternate_contact_email | VARCHAR   | 대체 연락처의 이메일 주소입니다.                                                |
| account_alternate_contact_phone | VARCHAR   | 대체 연락처의 전화번호입니다.                                                   |
| account_alternate_contact_title | VARCHAR   | 대체 연락처의 직함입니다.                                                       |

# 필터

소스에서 가져온 보안 결과와 리소스를 다양한 방식으로 필터링하고 모두 결합하여 정확히 원하는 것을 얻을 수 있으며, 그런 다음 해당 필터를 재사용하여 자동화, 알림, 보고서 등을 만들 수 있습니다.

- [Security Hub Filtering](#security-hub-filtering)
- [Security Hub Filtering using YAML templates](#security-hub-filtering-using-yaml-templates)
- [Config Filters](#config-filters)
- [Tags Filters](#tags-filters)
- [Impact Filters](#impact-filters)

## Security Hub 필터링

MetaHub는 `--sh-filters` 옵션을 사용하여 `KEY=VALUE` 형식의 AWS Security Hub 결과 필터링을 지원합니다. 이는 AWS CLI를 사용하여 필터링하는 것과 동일하지만 `EQUALS` 비교로 제한됩니다. 다른 비교를 원한다면 `--sh-template` 옵션을 사용하세요. [Security Hub Filtering using YAML templates](#security-hub-filtering-using-yaml-templates).

사용 가능한 필터는 [AWS 문서](https://boto3.amazonaws.com/v1/documentation/api/latest/reference/services/securityhub.html#SecurityHub.Client.get_findings)에서 확인할 수 있습니다.```sh
./metahub --sh-filters <KEY=VALUE>

값에 공백이 포함된 경우 큰따옴표를 사용하여 지정해야 합니다: `"ProductName="Security Hub"`

필요한 만큼 다양한 필터를 쿼리에 추가할 수 있으며, 동일한 필터 키에 다른 값을 추가할 수도 있습니다:

예시:

- 심각도(CRITICAL)로 필터링:```sh
./metaHub --sh-filters RecordState=ACTIVE WorkflowStatus=NEW SeverityLabel=CRITICAL

- 심각도 및 AWS 계정별 필터링:```sh
./metaHub --sh-filters RecordState=ACTIVE WorkflowStatus=NEW SeverityLabel=CRITICAL AwsAccountId=1234567890

- AWS 리소스 유형별 필터링:```sh
./metahub --sh-filters RecordState=ACTIVE WorkflowStatus=NEW ResourceType=AwsEc2SecurityGroup

- 결과 ID로 필터링:```sh
./metahub --sh-filters Id="arn:aws:security hub:eu-west-1:01234567890:subscription/aws-foundational-security-best-practices/v/1.0.0/EC2.19/finding/01234567890-1234-1234-1234-01234567890"

## YAML 템플릿을 사용한 Security Hub 필터링

**MetaHub**를 사용하면 필요할 때 재사용할 수 있는 YAML 파일(템플릿)을 사용하여 복잡한 필터를 만들 수 있습니다. YAML 템플릿을 사용하면 "EQUALS', 'PREFIX', 'NOT_EQUALS', 'PREFIX_NOT_EQUALS"와 같이 AWS Security Hub가 지원하는 모든 비교를 사용하여 필터를 작성할 수 있습니다. `--sh-template <<FILE>>` 옵션을 사용하여 YAML 파일을 호출할 수 있습니다.

예제는 [templates](https://github.com/gabrielsoltz/metahub/blob/main/templates) 폴더에서 찾을 수 있습니다.

- YAML 템플릿 default.yml을 사용한 필터링:```sh
./metaHub --sh-template templates/default.yml

- 모든 S3 버킷을 가져옵니다 (`ResourceType=AwsS3Bucket`) 단, 공개된 경우에만 (`public=True`):```sh
./metahub --sh-filters ResourceType=AwsS3Bucket --mh-filters-config public=False

## 영향 필터

**MetaHub**는 **영향 필터**를 지원합니다. MetaHub가 계산한 [영향 키](#impact)로 필터링할 수 있습니다. 원하는 만큼 많은 필터를 사용할 수 있으며 공백으로 구분합니다. 둘 이상의 필터를 지정하면 **모든** 필터와 일치하는 모든 리소스를 얻을 수 있습니다.

예시:

- 노출이 effectively-public으로 계산된 리소스에 영향을 미치는 모든 보안 결과물 필터링:```sh
./metahub --mh-filters-impact exposure=effectively-public

# Security Hub Actions

## 워크플로 상태 업데이트

**MetaHub**를 사용하여 단일 명령으로 AWS Security Hub Findings 워크플로 상태(`NOTIFIED`, `NEW`, `RESOLVED`, `SUPPRESSED`)를 업데이트할 수 있습니다. `--update-findings` 옵션을 사용하여 MetaHub 쿼리의 모든 결과를 업데이트합니다. 즉, 하나의 명령만으로 하나, 열 개, 또는 수천 개의 결과를 업데이트할 수 있습니다. AWS Security Hub API는 업데이트당 최대 100개의 결과로 제한됩니다. Metahub는 이 제한을 피하기 위해 결과를 100개 항목씩 나누어 처리하며, 양에 관계없이 결과를 업데이트합니다.

예를 들어, 다음 필터를 사용하여: `./metahub --sh-filters ResourceType=AwsSageMakerNotebookInstance RecordState=ACTIVE WorkflowStatus=NEW` 두 개의 영향을 받는 리소스를 찾았고, 각각 세 개의 결과가 있어 총 여섯 개의 Security Hub 결과가 있습니다.

다음 업데이트 명령을 실행하면 해당 여섯 개 결과의 워크플로 상태가 `NOTIFIED`로 업데이트되며, 노트가 추가됩니다:```sh
./metahub --update-findings Workflow=NOTIFIED Note="Enter your ticket ID or reason here as a note that you will add to the finding as part of this update."

<p align="center">
  <img src="https://assets.kitploit.com/production/public/readmes/6190/93a45d119a712b11ae5f23ea68e3a1f7d71e0e9511df7d7dadd2b462fcde71a2.png" alt="update-findings" width="850"/>
</p>

`--enrich-findings`는 발견 사항을 보강하기 전에 확인을 요청합니다. `--no-actions-confirmation` 옵션을 사용하여 이 확인을 건너뛸 수 있습니다.

# 기여하기

Context 모듈에 기여하려면 이 가이드를 따라주세요 [가이드](https://github.com/gabrielsoltz/metahub/blob/main/docs/context.md).