Amazon Security Lake
CloudTrail、VPC Flow Logs、Route 53 Resolver ログなどのセキュリティデータを OCSF 形式で自動正規化し、S3 ベースのセキュリティデータレイクに一元集約するサービス
概要
Amazon Security Lake は、AWS 環境とサードパーティソースからセキュリティ関連のログとイベントデータを自動的に収集し、Open Cybersecurity Schema Framework (OCSF) に正規化して S3 に格納するサービスです。CloudTrail、VPC Flow Logs、Route 53 Resolver ログ、Security Hub のファインディング、Lambda 実行ログなどの AWS ネイティブソースに加え、CrowdStrike、Palo Alto Networks などのサードパーティセキュリティ製品のデータも統合できます。Apache Iceberg テーブルフォーマットで格納されるため、Athena や OpenSearch から効率的にクエリ可能です。
OCSF スキーマとデータ正規化の仕組み
Security Lake の核心は、異なるソースから来るセキュリティデータを OCSF (Open Cybersecurity Schema Framework) という共通スキーマに自動正規化する点にあります。OCSF はセキュリティイベントを標準化するオープンスキーマで、イベントカテゴリ (認証、ネットワーク、ファイル操作など)、重要度、アクター、リソースなどのフィールドが統一的に定義されています。CloudTrail の API コールイベントも VPC Flow Logs のネットワークフローも、同じスキーマで格納されるため、異なるソースを横断した相関分析が容易になります。データは Apache Parquet 形式で圧縮され、Apache Iceberg テーブルとして管理されます。Iceberg のパーティション進化機能により、時間範囲やリージョンでの効率的なクエリプルーニングが自動的に適用されます。データの保持期間はソースごとに設定でき、ホットデータは S3 Standard、コールドデータは S3 Glacier に自動的に階層化するライフサイクルポリシーも構成可能です。
ソース統合とサブスクライバー管理
Security Lake のデータソースは AWS ネイティブソースとカスタムソースの 2 種類です。AWS ネイティブソースは有効化するだけで自動的にデータが収集され、OCSF への変換も自動です。カスタムソースはサードパーティのセキュリティ製品やオンプレミスのログソースからデータを取り込む仕組みで、OCSF 形式に変換済みのデータを S3 に直接書き込むか、Glue クローラーで取り込みます。サブスクライバーは Security Lake のデータを消費する側のサービスやアカウントです。クエリアクセスサブスクライバーは Athena や OpenSearch から直接クエリを実行し、データアクセスサブスクライバーは S3 からデータを読み取って独自の SIEM (Splunk、IBM QRadar など) に取り込みます。新しいデータが到着すると SQS キューまたは EventBridge 経由でサブスクライバーに通知され、リアルタイムに近い分析パイプラインを構築できます。
クロスアカウント集約とクエリアクセス
Security Lake は Organizations と統合して、複数アカウントのセキュリティデータを委任管理者アカウントに集約します。委任管理者は Organizations 内の任意のアカウントに設定でき、通常はセキュリティ専用アカウントが指定されます。各メンバーアカウントのデータは自動的に委任管理者のデータレイクに転送され、一元的なセキュリティ分析が可能になります。リージョンごとにロールアップリージョンを設定すると、複数リージョンのデータを 1 つのリージョンに集約でき、グローバルなセキュリティ監視を単一のクエリで実行できます。Athena からのクエリでは、OCSF の標準フィールドを使って「過去 24 時間に失敗した認証イベントのうち、送信元 IP が海外のもの」のようなセキュリティ調査クエリを SQL で記述します。料金はデータの取り込み量 (GB あたり約 0.75 USD) と S3 のストレージ料金で構成され、クエリ料金は Athena の標準料金が適用されます。