Amazon Security Lake で構築するセキュリティデータレイク - OCSF 形式での統合分析
Security Lake による CloudTrail、VPC フローログ、Route 53 ログの自動集約、OCSF 正規化、サブスクライバーとの統合を解説します。
Security Lake の概要
Security Lake は AWS とサードパーティのセキュリティデータを自動的に集約・正規化するサービスです。従来、セキュリティ分析のためには CloudTrail ログ、VPC フローログ、GuardDuty の検出結果をそれぞれ個別に収集・変換する必要がありましたが、Security Lake はこれらを OCSF 形式に自動変換して S3 ベースのデータレイクに集約します。データは Apache Iceberg テーブル形式で保存され、Athena から SQL で直接クエリできます。
データソースと OCSF 正規化
Security Lake は 8 種類の AWS ネイティブデータソース (CloudTrail 管理イベント、CloudTrail データイベント、VPC フローログ、Route 53 リゾルバーログ、Security Hub、Lambda 実行ログ、EKS 監査ログ、WAF ログ) を自動収集します。サードパーティのデータソース (CrowdStrike、Palo Alto Networks など) もカスタムソースとして追加できます。OCSF は異なるソースのセキュリティイベントを統一スキーマに変換するオープンフレームワークで、ソースに関係なく同じカラム名・データ型でクエリできます。
サブスクライバーと分析
サブスクライバーはデータレイクのデータにアクセスする消費者です。データアクセスサブスクライバーは S3 上のデータに直接クエリでき、 Athena や Redshift Spectrum で分析します。クエリアクセスサブスクライバーは新しいデータが到着した際に SQS 通知を受け取り、リアルタイムの分析パイプラインを構築できます。 Splunk や Datadog などの SIEM ツールをサブスクライバーとして設定し、既存のセキュリティ運用ツールに Security Lake のデータを統合できます。 Security Lake の理解をさらに深めたい場合はAmazon の専門書も活用できます。
Security Lake の料金
Security Lake の料金はデータの取り込み量と保存量で構成されます。AWS ネイティブソースからのデータ取り込みは 1 GB あたり約 0.75 ドルで、S3 ストレージ料金が別途発生します。Apache Iceberg 形式で保存されるため、Athena でのクエリは S3 のスキャン量に基づく料金 (1 TB あたり約 5 ドル) です。データの保持期間をリージョンごとに設定し、古いデータを自動的に Glacier に階層化することでストレージコストを削減できます。Organizations 全体で有効化する場合、ログ量の多いアカウントから段階的に導入し、コストを確認しながら展開する方法が推奨されます。
まとめ
Security Lake は AWS のセキュリティデータを OCSF 形式で自動集約するデータレイクサービスです。Organizations 統合で組織全体のセキュリティデータを一元化し、Athena や SIEM ツールで横断的な分析を実現します。セキュリティ運用の基盤として、大規模組織に特に有効です。