AWS Security Hub で一元管理するセキュリティ態勢 - 検出結果の集約と自動対応
GuardDuty・Inspector・Macie の検出結果を ASFF で集約し、セキュリティ標準の自動評価でスコアを定量化する。EventBridge 連携の自動修復も紹介します。
Security Hub の概要
Security Hub は AWS 環境のセキュリティ検出結果を集約し、セキュリティ態勢を一元管理するサービスです。GuardDuty の脅威検出、Inspector の脆弱性スキャン、Macie の機密データ検出、Config のコンプライアンス評価など、複数のセキュリティサービスの結果を AWS Security Finding Format (ASFF) で統一的に管理します。
セキュリティ標準と自動対応
セキュリティ標準を有効化すると、Config ルールベースの自動チェックが実行されます。AWS Foundational Security Best Practices は AWS が推奨するセキュリティ設定を網羅し、S3 バケットのパブリックアクセス、RDS の暗号化、IAM のパスワードポリシーなどを自動評価します。セキュリティスコアは全チェック項目に対する準拠率をパーセンテージで表示し、改善の進捗を定量的に追跡できます。自動化ルールで特定の検出結果に対してステータスの自動変更や EventBridge 経由の通知を設定できます。
自動修復と統合
Security Hub の自動修復は、検出結果に対してカスタムアクションを定義し、 EventBridge 経由で Lambda や Systems Manager Automation を実行します。例えば「パブリックアクセス可能な S3 バケット」の検出結果に対して、自動的にパブリックアクセスブロックを有効化するアクションを設定します。サードパーティのセキュリティツール (Splunk 、 PagerDuty 、 Jira) との統合で、検出結果をインシデント管理ワークフローに自動連携します。 Organizations の委任管理者で全アカウントの検出結果を集約し、セキュリティスコアを組織レベルで追跡します。リージョン集約で複数リージョンの検出結果を 1 つのリージョンに集約し、管理を簡素化します。 セキュリティ管理の理解をさらに深めたい場合はAmazon の専門書も活用できます。
Security Hub の料金
Security Hub の料金はセキュリティチェック数 (Config ルール評価) と検出結果の取り込み数で構成されます。セキュリティチェックは最初の 100,000 チェック/月が 1 チェックあたり約 0.001 ドルです。検出結果の取り込みは最初の 10,000 件/月が無料で、以降は 1 件あたり約 0.00003 ドルです。有効化するセキュリティ標準を必要なものに限定し、全標準を一律に有効化しないことでチェック数を管理します。30 日間の無料トライアルで実際のコストを確認してから本番導入します。
まとめ
Security Hub はセキュリティ検出結果の集約とセキュリティ標準の自動評価を提供するサービスです。AWS Foundational Security Best Practices や CIS Benchmark のチェックでセキュリティスコアを定量化し、EventBridge 連携で自動修復アクションを構築します。リージョン集約で複数リージョンの検出結果を一元管理し、サードパーティ SIEM との統合でインシデント対応を効率化します。