セキュリティポスチャー管理 - AWS Security Hub で実現する統合セキュリティ監視基盤
AWS Security Hub による統合セキュリティ監視と、GuardDuty との連携による脅威検知の自動化を解説します。セキュリティベストプラクティスへの準拠状況の可視化とマルチアカウント環境のセキュリティガバナンスを紹介します。
セキュリティポスチャー管理の重要性と Security Hub
クラウド環境のセキュリティ管理では、複数のセキュリティサービスからの検出結果を統合し、組織全体のセキュリティ状態を包括的に把握することが重要です。AWS Security Hub は、AWS 環境全体のセキュリティアラートとコンプライアンス状況を一元的に集約・管理するサービスです。GuardDuty、Inspector、Macie、Firewall Manager、IAM Access Analyzer など複数の AWS セキュリティサービスの検出結果を AWS Security Finding Format (ASFF) で標準化し、統一されたダッシュボードで可視化します。セキュリティ標準 (AWS Foundational Security Best Practices、CIS AWS Foundations Benchmark、PCI DSS) に基づく自動チェックにより、設定の不備やベストプラクティスからの逸脱を継続的に検出します。
セキュリティ標準と自動コンプライアンスチェック
Security Hub は複数のセキュリティ標準に基づく自動チェックを提供します。AWS Foundational Security Best Practices (FSBP) は AWS が推奨するセキュリティ設定を網羅し、S3 バケットのパブリックアクセス、EBS ボリュームの暗号化、IAM パスワードポリシー、VPC フローログの有効化など数百のチェック項目を自動的に評価します。CIS AWS Foundations Benchmark は Center for Internet Security が策定した業界標準のベンチマークで、AWS 環境のセキュリティ設定を体系的に評価します。各チェック項目にはセキュリティスコアが付与され、組織全体のセキュリティポスチャーを数値で把握できます。AWS Config ルールと連携して、リソースの設定変更をリアルタイムで評価し、非準拠の設定を即座に検出します。以下は AWS CLI で Security Hub のセキュリティスコアを確認する例です。 ```bash aws securityhub get-findings \ --filters '{"ComplianceStatus": [{"Value": "FAILED", "Comparison": "EQUALS"}]}' \ --max-items 10 \ --region ap-northeast-1 ``` カスタムアクションにより、特定の検出結果に対する自動修復ワークフローを構築することも可能です。
GuardDuty との連携による脅威検知の統合
GuardDuty の脅威検知結果は自動的に Security Hub に集約され、他のセキュリティサービスの検出結果と統合して分析できます。 GuardDuty が検出した不正な API 呼び出し、暗号通貨マイニング、 C&C サーバーとの通信などの脅威情報を、 Security Hub のダッシュボードで重大度別に分類し、優先順位を付けて対応できます。 EventBridge との連携により、特定の重大度以上の検出結果を自動的に Lambda 関数にルーティングし、侵害された IAM クレデンシャルの無効化、セキュリティグループの修正、 SNS によるセキュリティチームへの通知などの自動対応を実行します。 Security Hub のインサイト機能により、検出結果のトレンド分析、最も影響を受けているリソースの特定、攻撃パターンの可視化が可能です。サードパーティのセキュリティツール (Splunk 、 PagerDuty 、 Jira) との統合により、既存のインシデント管理ワークフローにセキュリティアラートを組み込むこともできます。 セキュリティ監視入門の全体像を把握するうえで関連書籍 (Amazon)が参考になります。
マルチアカウント環境のセキュリティガバナンス
Security Hub は AWS Organizations と統合し、マルチアカウント環境全体のセキュリティポスチャーを一元管理できます。管理者アカウントから全メンバーアカウントの Security Hub を有効化し、検出結果を集約します。クロスリージョン集約により、複数リージョンの検出結果を単一のリージョンに統合し、グローバルなセキュリティ状況を把握できます。組織全体のセキュリティスコアにより、どのアカウントやリージョンにセキュリティリスクが集中しているかを即座に特定できます。AWS Firewall Manager と連携して、WAF ルール、セキュリティグループ、Network Firewall ポリシーを組織全体に一括適用し、セキュリティベースラインを強制できます。以下は Organizations 統合で Security Hub を全メンバーアカウントに有効化する CLI 例です。 ```bash aws securityhub create-members \ --account-details '[{"AccountId": "111122223333"}, {"AccountId": "444455556666"}]' \ --region ap-northeast-1 aws securityhub update-organization-configuration \ --auto-enable \ --region ap-northeast-1 ``` 定期的なセキュリティレポートの自動生成により、経営層への報告やコンプライアンス監査への対応を効率化します。
Security Hub の料金
セキュリティチェックは最初の 100,000 チェック/月が 1 チェックあたり約 0.001 ドルです。検出結果の取り込みは最初の 10,000 件/月が無料で、以降は 1 件あたり約 0.00003 ドルです。有効化するセキュリティ標準を必要なものに限定し、全標準を一律に有効化しないことでチェック数を管理します。30 日間の無料トライアルで実際のコストを確認してから本番導入します。
まとめ - 統合セキュリティ監視基盤の構築
AWS Security Hub は、AWS 環境全体のセキュリティアラートとコンプライアンス状況を一元管理する統合セキュリティ監視基盤です。複数のセキュリティ標準に基づく自動チェック、GuardDuty との脅威検知統合、EventBridge による自動対応、Organizations によるマルチアカウント管理を組み合わせることで、包括的なセキュリティポスチャー管理を実現します。Microsoft Defender for Cloud と比較して、Security Hub は ASFF による検出結果の標準化、EventBridge を介した柔軟な自動修復ワークフロー、60 以上のパートナー製品との事前構築済み統合において優位性を持ちます。セキュリティスコアによる定量的な評価と継続的な改善サイクルにより、組織全体のセキュリティレベルを向上させます。