AWS Security Hub CSPMによる集約を理解する

複数の安全性サービスから届く所見をまとめ、設定の状態を標準と照らして点検する方法を学びます。試験範囲でSecurity Hubと表記される集約・状態管理の役割について、現行公式のSecurity Hub CSPMを中心に説明します。

この単元で学ぶこと

Security Hub CSPMの集約と標準チェックを説明する
アカウント・地域と検出元の有効化を区別する
所見の整理と実資源の修復を分ける

本文解説

1. 所見を横断的に見る GuardDuty、Inspector、Macie等は異なる観点で問題を検出します。Security Hub CSPMは連携したサービスや製品からの所見をまとめ、優先すべき問題を確認する助けになります。ここでは従来Security Hubの教材で扱う所見集約とセキュリティ状態管理を、現行資料のCSPMという名前で説明します。

2. 集約と検出元の違い集約画面に複数の結果を表示できても、元の検出サービスの全機能が代わりに実行されるわけではありません。例えばInspectorの脆弱性検査は検出元の対象設定を確認します。所見が来ない場合は、問題がない可能性だけでなく、検出元や連携の有効化、範囲も点検します。

3. 標準とコントロール標準はセキュリティの要求やベストプラクティスをまとめたものです。個々の確認項目をコントロールと呼びます。Security Hub CSPMは設定をチェックしてコントロール所見を生成します。例えば設定上の問題を見つけることは、実際の攻撃が起きたかを検出することとは別の役割です。

4. Configとの関係多くのコントロールのチェックはAWS Configの記録とサービスリンクルールを利用します。そのため対象資源をConfigで記録しているかを確認します。Security Hub CSPMを有効にしたという一つの操作だけから、全コントロールが必要な入力を得ているとは判断しません。

5. アカウントと地域組織の管理をまとめる場合も、対象アカウント、地域、標準や検出元を確認します。地域をまたぐ集約ではホームリージョンからリンクした地域の所見等を見られます。ただし集約設定自体が各地域のSecurity Hub CSPMを自動で有効化するわけではありません。データを作る側と見る側を分けます。

6. 所見を整理する共通の形式であるASFFは、異なる検出元の結果を扱いやすくします。重大度、資源、ワークフロー状態等を使って優先順位を判断できます。ただし重大度の表示を書き換えたことと、原因となる資源設定を修正したことは別です。担当者の判断と実際の対応結果を区別して記録します。

7. 自動化の二つの範囲自動化ルールは条件に合う所見のフィールド変更や抑制に使えます。実際の資源修復や外部への通知にはEventBridge等との連携で処理を設計できます。所見の状態だけを完了へ変えるルールを、資源が安全になった証拠にはしません。実行結果と対象の状態も確認します。

8. 評価の限界セキュリティスコアは対象のコントロールの状態を理解する指標で、自社の全ての法令・業務要件への適合証明ではありません。また有効化前に生成された所見を遡って集約するものではないため、開始時点と範囲を確認します。監査では自社の設定や運用の証跡も組み合わせます。

図解

検出と集約と修復を分ける — 表示上の整理と、対象資源への変更の実施は異なります。

重要ポイント

検出元の所見集約と標準チェックを提供する。
集約設定と各地域の有効化は別。
所見状態の変更は資源の修復ではない。

間違えやすい点

集約画面が空なら全対象に問題がないと考える。
スコアを自社の全要件への適合証明とみなす。

用語解説

CSPM: クラウドのセキュリティ設定・状態を評価し管理する分野。
コントロール: 標準を構成する個々のセキュリティ確認項目。
ASFF: AWS Security Finding Format。所見を共通の形式で扱うための形式。
ホームリージョン: リンクした地域からの所見等を集約して扱う地域。

参考資料

教材データに登録された参考リンクです。リンク先の内容や更新日は提供元でご確認ください。

確認問題の出題・採点や学習履歴の保存にはログインが必要です。