AWS Security Hub 定價

Security Hub 提供為期 30 天的免費試用，包含 Security Hub 基礎方案的功能，採用以資源為基礎的定價模式。每個區域內的每個 AWS 帳戶皆可獲得免費試用資格，即使您先前曾使用過 AWS Security Hub CSPM 或 Amazon Inspector 的免費試用版本，仍可繼續享有此資格。Security Hub 免費試用中不包含 Amazon GuardDuty 的威脅分析方案以及由 Amazon Inspector 提供支援的 AWS Lambda 程式碼掃描等附加功能。免費試用結束後，費用根據您監控的 AWS 資源 (EC2 執行個體、容器映像、Lambda 函式、IAM 使用者/角色) 以及威脅分析方案的使用量 (CloudTrail 事件與日誌資料量) 計算得出。

Security Hub 預設提供基礎方案，可根據需要新增威脅分析方案或 Lambda 程式碼掃描功能。基礎方案包括風險分析、漏洞管理、安全態勢管理和安全事件應對管理。威脅分析方案新增由 Amazon GuardDuty 提供支援的 AWS 帳戶活動、VPC 流量日誌、DNS 日誌及其他安全資料監控。如需完整的功能描述，請參閱方案詳細資訊部分。

Security Hub 基礎方案可在四個關鍵領域提供安全防護：

• 風險與暴露分析 - 透過關聯分析環境中的各項調查結果，自動識別並優先處理最關鍵的安全問題，協助您聚焦於最重要的事項，並更快應對威脅。
• 漏洞管理 - 持續掃描您的 EC2 執行個體、容器映像及 Lambda 函式，偵測軟體漏洞與組態弱點，讓您能在安全漏洞遭利用前及時將其修復。
• 安全態勢管理 - 評估您的 AWS 環境是否符合產業安全標準與最佳實務，以識別錯誤設定，協助您維持合規性並減小受攻擊面。
• 安全事件應對管理 - 提供集中化的安全調查結果檢視，搭配自動化工作流程，可協助您的團隊更有效率地調查並修復整個 AWS 環境中的問題。

這些功能可共同協助您降低安全風險、提升團隊工作效率，並在整個雲端基礎結構中維持強健的安全態勢。

會，Security Hub 會監控您環境中的所有相關 AWS 資源，以提供更全面的安全防護。基礎方案的定價基於四種資源類型：EC2 執行個體、ECR 容器映像、Lambda 函式，以及 IAM 使用者與角色。這個簡化的定價模式可助力更輕鬆地估算和管理 Security Hub 成本。

否，不需要同時訂閱這兩個方案。Security Hub 基礎方案是您啟用 Security Hub 時預設取得的保障層級，必須訂閱才能使用 Security Hub 的所有功能。其提供安全防護功能，包括風險與暴露分析、漏洞管理、安全態勢管理以及安全事件應對管理。威脅分析方案是一項附加功能，透過 Amazon GuardDuty 提供的威脅監控功能，強化您的基礎方案。

威脅分析方案無法獨立使用，必須以 Security Hub 基礎方案作為其基礎。雖然大多數基礎方案功能皆可獨立運作，但針對 Amazon EC2 的惡意軟體防護屬特殊情況：此功能雖包含在基礎方案中，卻僅在威脅分析方案同時啟用時方能運作，因其仰賴 GuardDuty 威脅偵測功能先識別可疑活動，再掃描惡意軟體。

您可先從基礎方案開始，隨著安全監控需求的演進，後續再新增威脅分析功能。

AWS 提供成本估算工具，可協助您在啟用 Security Hub 服務之前估算其成本。如需詳細資訊，請參閱 Security Hub 成本估算器頁面。

Security Hub 基礎方案將 Amazon Inspector 和 AWS Security Hub CSPM 功能合併到一個可預測的、以資源為基礎的定價模式中，在簡化成本的同時增強安全營運。

現有 Amazon Inspector 客戶可透過統一資源定價實現簡化的漏洞管理，涵蓋 EC2 執行個體掃描 (包含以代理程式為基礎與無代理程式兩種模式)、無限次 CIS 基準評估、可預測的 ECR 容器映像監控成本，以及固定月費制的 Lambda 函式監控費率。此次合併在提供全面漏洞防護的同時，亦可消除管理多個定價模式的複雜性。

從以使用量為基礎的定價模式轉變為以資源為基礎的定價模式時，Security Hub CSPM 客戶可獲益，在取得更全面的漏洞關聯能力、無限次安全檢查與調查結果擷取，以及強化符合產業標準之合規性監控的同時，還能自動關聯 Amazon Inspector 漏洞資料。在擴展安全能力的同時，提升成本可預測性。

除合併成本之外，Security Hub 基礎方案透過自動將漏洞調查結果與合規性檢查關聯，並藉由風險優先級排序降低警示雜訊，為所有客戶徹底革新安全營運模式。安全團隊可專注於結合漏洞嚴重性、網路風險與合規性缺口的脈絡化風險評估，同時受益於集中化營運、自動化修復工作流程，並能隨安全需求的不斷變化，靈活擴展至更全面的威脅偵測方案。

現有安全服務的計費機制將無縫轉換至 Security Hub 簡化的定價模式，無需採取任何動作。您將透過 Security Hub 收到合併費用，而非針對 Security Hub 方案所包含功能分別開立的服務帳單。

Security Hub 為 AWS Organizations 提供帳戶層級的靈活性。當您在帳戶中啟用 Security Hub 時，該帳戶將獲得涵蓋所有安全服務的簡化定價方案。若未在帳戶中啟用 Security Hub，該帳戶將針對各項安全服務採用獨立的服務定價。這意味著在單一 AWS Organization 內，部分帳戶可採用 Security Hub 簡化的定價模式，其他帳戶則繼續採用個別服務定價模式，具體依該特定帳戶是否啟用 Security Hub，於帳戶層級決定。

EC2 執行個體：EC2 執行個體的平均數 = (作用中執行個體總時數/一個月的小時數，即 720 小時)。例如，在一個月內，您有 3 個執行個體處於作用中狀態，每個執行個體的作用時長各不相同：第一個執行個體 360 小時，第二個 350 小時，第三個 10 小時，總計作用時長 720 小時。因此，當月被掃描的執行個體總時數 720 小時/當月 720 小時 = 平均 1 個 EC2 執行個體。

容器映像：被掃描的容器映像數量 = 每月推送至 Amazon ECR 的容器映像數量，加上當月根據 Amazon Inspector 重新掃描設定而需重新掃描的容器映像數量。Amazon Inspector 將對推送至 Amazon ECR 的每個容器映像執行初始掃描。此外，Amazon Inspector 會根據您設定的映像推送日期、映像提取日期及映像最後使用日期等時間範圍，重新掃描容器映像以偵測新漏洞。範例：您在 Amazon ECR 儲存庫中有 5,000 個映像，並在一個月內將額外的 500 個映像推送至 Amazon ECR。您已根據最後使用日期設定為期 14 天的映像監控。該月內，共有 75 個來自儲存庫的容器映像部署至 Amazon ECS 或 Amazon EKS 叢集。Amazon Inspector 根據您設定的監控時段內，每個映像實際被監控的時間長度進行監控與計費，這包括正被使用的 75 個作用中映像，以及各自對應的監控期內新推送的 500 個映像。請注意，費用僅涵蓋每個映像實際被監控的時間 (預設最長為 14 天)，未必涵蓋整個月份，且此監控期可根據您的需求自訂。

Lambda 函式：符合條件的 Lambda 函式基於標記為 $LATEST，且在過去 90 天內被調用或更新的函式。Lambda 函式的平均數 = (Security Hub 監控 Lambda 函式的總時數)/(一個月的小時數，即 720 小時)。Security Hub 監控小時數表示 Lambda 函式被部署至其被刪除的時間。

範例：您有 3 個已部署的 Lambda 函式，在一個月內，Security Hub 對它們進行不同時長的監控：第一個函式被監控 720 小時，第二個被監控 350 小時，第三個被監控 10 小時，對已部署的 Lambda 函式總計進行 1,080 小時的掃描。因此，當月被掃描的 Lambda 函式總計 1,080 小時/當月 720 小時 = 平均 1.5 個 Lambda 函式。

IAM 使用者與角色：IAM 使用者與角色的平均數 = 當月存在的 IAM 使用者或角色數量，以日按比例計算。

未明確列於 Security Hub 方案中的功能，將繼續透過其原始服務計費。例如，您只會收到針對威脅分析方案未涵蓋之任何剩餘 GuardDuty 功能的 GuardDuty 帳單。

可以，即使未啟用 Security Hub，Amazon Inspector、GuardDuty、Security Hub CSPM 等個別服務，仍可照常使用，並維持其標準定價。