Amazon Security Lake
セキュリティデータを OCSF 形式で一元集約するデータレイクサービス
何ができるか
Amazon Security Lake は、AWS サービス、サードパーティセキュリティツール、オンプレミスのセキュリティデータを OCSF (Open Cybersecurity Schema Framework) 形式で S3 ベースのデータレイクに一元集約するサービスです。CloudTrail、VPC Flow Logs、Route 53 DNS ログ、Security Hub の検出結果などを自動的に収集・正規化します。
どのような場面で使うか
セキュリティデータの一元管理と長期保存、SIEM ツールとの統合、セキュリティインシデントの調査と分析、コンプライアンス監査のためのログ保持に利用されます。 この分野について体系的に学びたい方は、関連書籍 (Amazon) も参考になります。
身近な例え
セキュリティ情報の図書館に例えられます。各部署 (AWS サービス、セキュリティツール) からのセキュリティレポートを統一フォーマット (OCSF) で整理・保管し、調査員 (分析ツール) がいつでも検索・分析できるようにします。
Security Lake とは
この記事は約 2 分で読めます。 Amazon Security Lake は、セキュリティデータの集約と正規化に特化したサービスです。従来、CloudTrail ログは CloudTrail の形式、VPC Flow Logs は VPC の形式と、データソースごとに異なるフォーマットでした。Security Lake は OCSF という標準スキーマにデータを正規化し、横断的な分析を可能にします。
データソースとサブスクライバー
Security Lake は AWS ネイティブのログソース (CloudTrail、VPC Flow Logs、Route 53 DNS ログ、S3 データイベント、Lambda 実行ログ、EKS 監査ログ) を自動収集します。サードパーティのセキュリティツールからのデータもカスタムソースとして取り込めます。サブスクライバー機能で、Splunk、Datadog、Sumo Logic などの SIEM ツールにデータを提供します。
はじめかた
Security Lake コンソールで有効化し、収集するログソースとリージョンを選択します。Organizations との統合で組織全体のセキュリティデータを集約できます。Athena でクエリを実行するか、サブスクライバーとして SIEM ツールを接続してデータを分析します。
Azure・オンプレミスとの比較
AWS の優位点
- OCSF 標準スキーマでデータを正規化し、異なるソースのセキュリティデータを統一的に分析可能
- AWS ネイティブのログソースを自動収集し、設定の手間を最小化
- Organizations との統合で組織全体のセキュリティデータを一元集約し、マルチアカウント環境の可視性を確保
注意点
- S3 ストレージ料金とデータの正規化処理料金が発生する。大量のログを収集するとコストが増加する
- Security Hub がセキュリティ検出結果の集約なのに対し、Security Lake は生ログデータの集約。用途が異なる
さらに詳しく知りたい方は、関連書籍 (Amazon) で理解を深められます。
