AWS在2026年10月14日宣布，Security Hub的风险暴露优先级评估加入资源重要性。安全团队可以把关键业务资产与普通资源区分开，先处理可能影响核心服务的暴露问题。
这一变化提供排序依据，不代表漏洞会自动修复。 资源的重要性如何确定，也值得和实际业务清单核对。
资源重要性从哪里来
官方说明支持自动化规则。例如，安全团队可以把某个账户中的计算资源标记为“Very High”。Security Hub还会根据资源标签和名称推断重要性，并记录决定该数值的来源。
名称和标签推断不等同于人工确认的业务等级。 命名不规范或标签过期时，应复核关键系统的标记结果。
既有资产和新资产都会受到影响吗
AWS明确表示，自动化规则同时作用于资源清单中已经存在的资源，以及随后被Security Hub发现的新资源。这样一来，团队不必只为新部署资源单独配置相同规则。
规则应与账户边界和资源分类保持一致。把整个账户一律标为最高等级，可能削弱风险排序的区分能力。
安全人员在哪里看到排序信息
资源页面增加了资源重要性列，可以据此排序、筛选和分组；风险暴露发现的Impact assessment标签页也会显示这项信息。团队能够在处置队列中结合业务影响查看发现，而非只看资产名称。
先从实际承载核心服务的资源核对标记，再观察该字段是否让待处理发现的顺序更符合业务优先级。
启用和费用边界是什么
AWS称资源重要性随Security Hub Essentials提供，不另收取这项能力的费用，对客户始终开启，无须新增启用步骤。功能是否能在某个账户使用，仍取决于Security Hub及其所在区域的可用情况。
无需额外启用不等于无需治理规则。 规则配置、标签质量和处置流程仍由团队负责。
现有安全流程应怎样接入
对已有Security Hub资源清单的团队，可先检查重要性列与来源，再用少量高价值业务资产验证自动化规则。新发现资源也会进入规则范围，后续需要持续维护账户与标签的归属。
验收时应确认关键资产在资源页和风险发现页显示一致，并让实际负责该系统的团队审核优先级。风险排序只能帮助决定先看哪里，不能代替对暴露本身的分析。
