AWS Security Hub

解決する課題

• 脅威、脆弱性、機密データ、設定不備の情報が分散している → 同じ資源と関係で相関したい
• 重大度の高い個別検出が多く、着手順を決めにくい → 攻撃経路と影響範囲で優先付けしたい
• 調査のたびに複数サービスを行き来する → 露出検出結果から根拠へたどるようにしたい
• Security Hub と Security Hub CSPM の役割を混同しやすい → 相関分析と構成評価を分離したい

主要概念と用語

• 信号: GuardDuty、Inspector、Macie、Security Hub CSPMなどが生成する脅威・脆弱性・データ・構成評価の情報
• 露出検出結果（Exposure finding）: 複数の信号と資源の関係を相関し、攻撃経路や影響範囲を示す調査単位
• 攻撃経路: 攻撃者が到達点へ進むために利用できる資源、権限、脆弱性、設定の連鎖
• 影響範囲: 侵害された場合に波及し得る資源やデータの範囲
• OCSF: Open Cybersecurity Schema Framework。新しいSecurity Hubの検出結果を表す共通スキーマ
• 資源インベントリ: 相関分析の土台となるAWS資源と関係の記録
• Security Hub CSPM: 標準、コントロール、セキュリティスコア、ASFF検出結果を扱う別サービス

仕様・制限・クォータ

• 新しいSecurity Hubの検出結果は OCSF 1.6 に基づき、CSPMのASFFとはAPIとスキーマが異なる
• 露出分析の品質は、連携サービスの有効化、資源情報、権限関係、対象リージョンの網羅性に左右される
• Security Hub CSPMを併用すると、標準コントロールの評価結果を相関材料として利用できる
• 有効化時には、資源情報の収集に使うサービスリンク設定が作られる。組織の委任と権限境界を事前に確認する
• 新旧APIは互換ではない。新しいSecurity Hubには末尾が -v2 のAPIを使い、CSPMのAPIと分けて運用する

内部の仕組み

横にスクロール

Security Hubは、GuardDutyの脅威、Inspectorの脆弱性、Macieの機密データ情報、Security Hub CSPMの構成評価などを取り込みます。さらに資源インベントリと権限・到達性の関係を重ね、個別の信号だけでは見えにくい攻撃経路を分析します。

相関結果は 露出検出結果 としてまとまり、攻撃者がどの入口から何へ到達し得るか、侵害時にどこまで波及し得るかを示します。運用者は単純な重大度順ではなく、経路、到達点、影響範囲を見て修復順を決められます。

検出結果はOCSF形式で検索し、担当者への割り当て、チケット化、SIEM連携、自動対応へ渡します。CSPMのASFF検出結果や旧APIとはデータ形式が異なるため、連携先では変換せず混在させない設計が必要です。

設計パターン / ベストプラクティス

• 信号源を先に整える: GuardDuty、Inspector、Macieなど必要なサービスを対象アカウントとリージョンで有効化する
• CSPMを役割で分ける: 標準準拠とスコアはCSPM、複数信号の相関と優先付けはSecurity Hubとして運用手順を分ける
• 攻撃経路から修復する: 入口、権限拡大、到達点のうち、複数経路を同時に断てる対策を優先する
• 組織で委任を統一する: Organizationsの委任管理者と対象範囲を定め、未統合アカウントを定期点検する
• 状態更新を監査する: 担当、抑制、解決の変更理由と期限を記録し、放置された例外をなくす

運用・監視

• 新規・更新された露出検出結果を確認し、攻撃経路と影響範囲から対応期限を決める
• 信号源、資源インベントリ、組織連携の欠落を監視し、分析の空白を検出する
• 修復後に経路が解消したかを再確認し、個別検出を閉じただけで完了にしない
• CSPMを併用する場合は、コントロール評価と露出検出結果を別の指標として追跡する

コスト

料金は利用プラン、分析対象の資源、取り込む信号などで変わります。Security Hub CSPM、GuardDuty、Inspector、Macieなどの連携元にはそれぞれ別料金があります。組織全体で有効化する前に、対象資源と必要な信号源を棚卸しして試算してください。

セキュリティ

• 露出検出結果には資源、脆弱性、権限、機密データの関係が含まれるため、閲覧権限を最小化する
• 委任管理者とサービスリンク設定の変更をCloudTrailで監査する
• 抑制は資源、理由、期限を限定し、広域・無期限の例外を避ける
• Security Hubは修復を自動で保証しない。変更前の承認、影響確認、ロールバックを対応経路へ組み込む

Well-Architected の観点

• セキュリティ: 複数の弱点を攻撃経路として捉え、重大な侵害へつながる組み合わせから対処する
• 運用上の優秀性: 調査単位、担当、期限、修復確認を露出検出結果にそろえ、反復可能な対応にする

試験で問われるポイント

関連サービス・比較

ハンズオン / CLI例

# 新しいSecurity Hubを有効化
aws securityhub enable-security-hub-v2

# OCSF形式の検出結果を取得
aws securityhub get-findings-v2 --max-results 10

# CSPM側で有効な標準を確認（別サービスのAPI）
aws securityhub get-enabled-standards