AWS AppFabric で SaaS 監査ログを集約 - OCSF 標準化と Security Lake 統合
AppFabric による SaaS アプリケーションの監査ログ収集、OCSF 形式への標準化、分析パイプラインの構築を解説します。
AppFabric の概要
AppFabric は SaaS アプリケーションの監査ログを標準化して集約するサービスです。企業が利用する複数の SaaS (Okta、Google Workspace、Slack、Salesforce、Microsoft 365 など) はそれぞれ独自のログ形式と API を持っており、横断的なセキュリティ分析には個別のコネクタ開発が必要でした。AppFabric はこれらの監査ログを OCSF (Open Cybersecurity Schema Framework) 形式に自動変換し、S3 や Security Lake に配信します。コネクタの開発・保守が不要になり、SaaS の追加も設定のみで完了します。
ログ標準化と分析
各 SaaS は独自のログ形式を使用しており、横断的な分析が困難です。AppFabric は OCSF 形式に標準化することで、「どのユーザーがどの SaaS でどのアクションを実行したか」を統一的に分析できます。Security Lake に配信すると、CloudTrail、VPC Flow Logs、GuardDuty の検出結果と SaaS のログを統合し、組織全体のセキュリティ態勢を把握できます。ユーザーアクセスの可視化では、30 日以上ログインしていない SaaS アカウントを検出し、ライセンスの最適化に活用します。
Security Lake との統合
AppFabric の出力先に Security Lake を指定すると、 SaaS 監査ログが OCSF 形式で Security Lake に取り込まれ、 AWS サービスのログ (CloudTrail 、 VPC Flow Logs) と統合的に分析できます。 Athena で「特定ユーザーが過去 24 時間にアクセスした全 SaaS アプリケーション」のようなクロスサービスクエリを実行し、内部不正やアカウント侵害の調査を効率化します。 S3 への直接出力も可能で、既存の SIEM (Splunk 、 Datadog) にログを転送する場合に使用します。 AppFabric のインジェスト設定で SaaS ごとの認証情報を登録し、ログの取得間隔を設定します。 AppFabric の理解をさらに深めたい場合はAmazon の専門書も活用できます。
AppFabric の料金
AppFabric の料金は取り込んだイベント数で課金されます。100 万イベントあたり約 0.50 ドルで、SaaS アプリケーションの利用規模に応じてコストが変動します。Security Lake への出力は AppFabric の料金に含まれますが、Security Lake 側のストレージと Athena のクエリ料金は別途発生します。監査対象の SaaS アプリケーションを優先度に基づいて選定し、全 SaaS を一律に取り込むのではなく、セキュリティリスクの高いアプリケーション (認証系、ファイル共有系) から段階的に導入することでコストを管理します。
まとめ
AppFabric は複数の SaaS アプリケーションの監査ログを OCSF 形式で標準化・集約するサービスです。各 SaaS の独自ログ形式を統一し、Security Lake との統合でクラウドと SaaS のセキュリティログを横断的に分析できます。内部不正やアカウント侵害の調査を効率化し、組織全体のセキュリティ可視性を向上させます。