Amazon Security Lake で構築するセキュリティデータレイク - OCSF 形式での統合分析

Security Lake の概要

Security Lake は AWS とサードパーティのセキュリティデータを自動的に集約・正規化するサービスです。従来、セキュリティ分析のためには CloudTrail ログ、VPC フローログ、GuardDuty の検出結果をそれぞれ個別に収集・変換する必要がありましたが、Security Lake はこれらを OCSF 形式に自動変換して S3 ベースのデータレイクに集約します。データは Apache Iceberg テーブル形式で保存され、Athena から SQL で直接クエリできます。

この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。

データソースと OCSF 正規化

Security Lake は AWS ネイティブのデータソース (CloudTrail 管理イベント、CloudTrail データイベント、VPC フローログ、Route 53 リゾルバーログ、Security Hub、Lambda 実行ログ、EKS 監査ログ、WAF ログ) を自動収集します。サードパーティのデータソース (CrowdStrike、Palo Alto Networks など) もカスタムソースとして追加できます。OCSF は異なるソースのセキュリティイベントを統一スキーマに変換するオープンフレームワークで、ソースに関係なく同じカラム名・データ型でクエリできます。

サブスクライバーと分析

サブスクライバーはデータレイクのデータにアクセスする消費者です。データアクセスサブスクライバーは S3 上のデータに直接クエリでき、Athena や Redshift Spectrum で分析します。クエリアクセスサブスクライバーは新しいデータが到着した際に SQS 通知を受け取り、リアルタイムの分析パイプラインを構築できます。Splunk や Datadog などの SIEM ツールをサブスクライバーとして設定し、既存のセキュリティ運用ツールに Security Lake のデータを統合できます。

さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。

まとめ

Security Lake は AWS のセキュリティデータを OCSF 形式で自動集約するデータレイクサービスです。Organizations 統合で組織全体のセキュリティデータを一元化し、Athena や SIEM ツールで横断的な分析を実現します。セキュリティ運用の基盤として、大規模組織に特に有効です。