AWS Security Hub のよくある質問
全般
すべて開くAWS Security Hub の主な利点は何ですか?
AWS Security Hub で、AWS のアカウントとワークロードのセキュリティを容易に管理、改善できるようになり、労力が軽減されます。AWS Security Hub はあらゆるアカウントとリージョン内で数分のうちにサービスを有効化し、毎日のように発生するセキュリティに関する重要な疑問を解決する支援を行います。主な利点は次のとおりです:
- セキュリティのベストプラクティスからの逸脱をワンクリックで検出します。 Security Hub は、AWS Foundational Security Best Practices 標準や、CIS AWS Foundations Benchmark、National Institute of Standards and Technology (NIST)、Payment Card Industry Data Security Standard (PCI DSS) などのサポートされている他の業界のベストプラクティスおよび標準のコントロールに照らして、継続的かつ自動的なアカウントレベルおよびリソースレベルの設定チェックを実行します。 Security Hub でサポートされている標準と管理の詳細をご覧ください。
- AWS およびパートナーサービスからのセキュリティ検出結果を、標準化されたデータ形式で自動的に集約します。 Security Hub は、Amazon GuardDuty からの侵入検出に関する検出結果、Amazon Inspector からの脆弱性スキャン、Amazon Macie からの機密データの識別に関する検出結果など、AWS アカウント全体で有効になっているセキュリティサービスからの検出結果を収集します。Security Hub は、標準化された AWS Security Finding Format を使用してパートナーのセキュリティ製品からの検出結果を収集するため、時間のかかるデータ解析と正規化の作業が不要になります。顧客は、自分のアカウントのすべての検出結果にアクセスできる管理者アカウントを指定できます。
- 自動化された対応と修復アクションにより、解決までの平均時間を短縮します。 Amazon EventBridge と Security Hub の統合、およびその他の統合を使用して、カスタムの自動応答、修復、および強化ワークフローを作成し、セキュリティオーケストレーションの自動化と対応 (SOAR) とセキュリティ情報とイベント管理 (SIEM) のワークフローを作成します。Security Hub 自動化ルールを使用して、ほぼリアルタイムで検出結果を自動的に更新または非表示にすることもできます。
- AWS ベースのアプリケーションのセキュリティ態勢を視覚化します。特定の要件に応じて Security Hub ダッシュボードをカスタマイズすると、パターン、脆弱性、脅威をより簡単に識別できるようになり、迅速な対応が可能になります。表示したいウィジェットを選択して変更し、フィルターを適用して保存し、特定の条件に基づいてコンテキストビューを作成し、ニーズに合った組織のセキュリティ体制のデータとビューに優先順位を付けます。
AWS Security Hub の利用にはどの程度のコストがかかりますか?
Security Hub の料金は、セキュリティチェックの量、取り込みイベントの検出結果の数量、1 か月あたりに処理されるオートメーションルール評価の数量という 3 つの観点に基づいて決まります。AWS Organizations のサポートにより、Security Hub では複数の AWS アカウントを接続し、それらのアカウント間の検出結果を統合して、組織全体のセキュリティチェック、検出結果インジェストイベント、自動化ルール評価を段階的な料金で利用できます。Security Hub では、1 か月あたり 10,000 件の検出結果データ取り込みイベントという無期限の無料利用枠も提供しています。最新の料金情報については、AWS Security Hub の料金ページをご覧ください。
AWS Security Hub のセキュリティチェックでは、AWS Config が記録した設定項目を利用します。これらのセキュリティチェックには AWS Config が必要です。設定項目は Security Hub とは別の料金が設定されています。詳細については、AWS Config の料金をご覧ください。Security Hub のお客様は、Security Hub によって有効になっているAWS Config ルールを無料でご利用いただけます。Security Hub によって有効化される AWS Config ルールは、サービスにリンクされたルールと言います。
Security Hub では無料トライアルを利用できますか?
はい。Security Hub が有効になっている各リージョンですべての AWS アカウントは、30日無料お試し版をご利用いただけます。試用期間中は、Security Hub のすべての機能とセキュリティチェックにアクセスできます。同じアカウントとリージョンで Security Hub を引き続き使用する場合は、毎月の請求額を見積もることができます。
Security Hub は、リージョンレベルのサービスですか? それともグローバルサービスですか?
AWS Security Hub はリージョンレベルのサービスですが、集約リージョンを指定することで検出結果のクロスリージョン集約をサポートしています。リージョンの検出結果を表示するには、各リージョンで Security Hub を有効にする必要があります。
Security Lake はどのリージョンをサポートしていますか?
AWS Security Hub が利用できるリージョンについては、AWS リージョン表をご覧ください。
どのパートナーが Security Hub と連携していますか?
標準化された検出結果の形式をサポートしていて、Security Hub と統合されているテクノロジーパートナーは多数あります。詳細については、 AWS Security Hub のパートナーページをご覧ください。
AWS Security Hub の開始方法
すべて開くクラウドセキュリティ態勢管理 (CSPM) とは何ですか?
CSPM は、クラウドのセキュリティ体制を維持するために、ワークロード、アカウント、リソース全体にわたる設定ミスの問題やコンプライアンスリスクを特定する手法です。Security Hub は CSPM 向けの AWS サービスで、セキュリティのベストプラクティスをチェックし、アラートを集約し、AWS アカウント、ワークロード、リソース全体の自動修復を可能にします。
Security Hub を有効にするにはどうすればよいですか?
初めて Security Hub コンソールを開いたときに、[開始] を選択し、次に [有効にする] をクリックします。AWS Security Hub は、サービスがリンクされたロールを使用します。このロールには Security Hub が必要とするアクセス許可と信頼ポリシーが含まれており、検出結果を検出して集約し、セキュリティチェックの実行に必要な前提条件となる AWS Config インフラストラクチャを設定します。Security Hub コントロールの多くは、アカウントのセキュリティチェックを実行するために AWS Config をアクティブ化する必要があります。また、最初に AWS Organizations を有効にして、組織全体で Security Hub を簡単に有効にできるようにすることをお勧めします。API を使用するか、AWS CloudFormation の AWS:: SecurityHub:: Hub リソースを使用してセキュリティハブを有効にすることもできます。
AWS Security Hub は、複数の AWS アカウントでのセキュリティの管理をサポートできますか?
- Security Hubでマルチアカウント階層を設定するか、Amazon GuardDutyなどのサービスから既存の階層をインポートすることで、リージョン内の複数のアカウントを管理し、それらのアカウント間で検出結果を統合することができます。管理者アカウントを指定すると、セキュリティチームがすべてのアカウントで統合された検出結果を表示します。個々のアカウント所有者は自分のアカウントに関連付けられた検出結果のみを表示できます。
- AWS Organizations との統合により、Security Hub と AWS Foundation Security Best Practices 標準を使用して組織内の任意のアカウントを自動的に有効にすることができます。
- AWS CloudFormation StackSets を使用すると、1 つのステップで複数のアカウントやリージョンにまたがるセキュリティハブを管理できます。組織全体または特定の組織単位 (OU) をアクションのターゲットとして指定できます。これにより、新しいアカウントに必要な構成が可能になります。Security Hub をすでにお使いの場合は、現在の設定が上書きされないように、これらの機能を使用する前に CloudFormation のリソースインポート機能を使用することをお勧めします。
所見とは何ですか?
検出結果は、潜在的なセキュリティの問題です。AWS Security Hub は、AWS およびサードパーティーのサービスから、セキュリティアラート、つまり検出結果を集約し、正規化して、優先順位を設定します。また、継続的で自動化された設定チェックの実行結果として、独自の検出結果を生成します。検出結果の取り込みイベントは、新しい検出結果が Security Hub に取り込まれたとき、または検出結果の更新が Security Hub に取り込まれたときに発生します。
インサイトとは何ですか?
インサイトは、関連する検出結果の集まりです。Security Hub には、お客様固有の環境に合わせてさらに調整できるフィルターを使用した、管理型のインサイトが用意されています。たとえば、インサイトは、重要な脆弱性に対するセキュリティパッチが欠けている Amazon Elastic Compute Cloud (Amazon EC2) インスタンスや、パブリックな読み取りまたは書き込み権限を持つ Amazon Simple Storage Service (Amazon S3) バケットを特定するのに役立ちます。管理型カスタマイズした Security Hub の分析情報は、AWS 環境におけるセキュリティの問題を追跡する助けとなります。
セキュリティ標準、コントロール、セキュリティチェックはどのように異なりますか?
セキュリティ標準は、規制フレームワークや業界のベストプラクティスに基づいたコントロールの集まりです。Security Hub は、コントロールに対する自動コンプライアンスチェックを行います。各セキュリティチェックは、単一のリソースに対するルールの評価で構成されています。単一のコントロールが複数のリソース (IAM ユーザーなど) を含み、各リソースに対してセキュリティチェックを実行します。Security Hub が有効になると、各コントロールとそのコントロールに関する各関連リソースに対して、継続的な自動化セキュリティチェックを即座に実行します。サポートされている標準と関連コントロールの詳細については、Security Hub 標準リファレンスにアクセスしてください。
AWS Foundational Security Best Practices 標準とは何ですか?
AWS Foundational Security Best Practices 標準は、特定の AWS 製品に関する知識を備えた関連サービスチームと AWS Security が共同で開発した一連のコントロールです。これらのコントロールは、AWS アカウントとリソースがセキュリティのベストプラクティスから逸脱しているかどうかを検出します。この標準により、すべての AWS アカウントとワークロードを継続的に評価して、ベストプラクティスから逸脱している領域をすばやく特定できます。組織のセキュリティ体制を改善および維持する方法について、実践的で規範的なガイダンスを提供します。コントロールには複数の AWS サービスのリソースに対するセキュリティのベストプラクティスが含まれ、各コントロールには適用されるセキュリティ機能を反映したカテゴリが割り当てられます。
Security Hub はどのような検出結果ソースを分析しますか?
セキュリティハブは、AWS Config、Amazon GuardDuty、AWS Health、Amazon Inspector、AWS Firewall Manager、AWS IAM Access Analyzer、AWS IoT Device Defender、Amazon Macie など、複数の AWS サービスからのセキュリティアラートまたは検出結果を分析します。さらに、AWS Security Hub と統合され、標準化された検出結果形式をサポートする、利用可能なサードパーティパートナー製品統合のリストを参照してください。
AWS Security Hub および AWS Config コンフォーマンスパックはどのような場合に使用しますか?
PCI DSS などのコンプライアンス標準が既に Security Hub に存在する場合、それを運用するための最も簡単な方法として、フルマネージド型の Security Hub サービスを挙げることができます。Security Hub の Amazon Detective との統合を介して検出結果を調査できるほか、Security Hub の Amazon EventBridge との統合を使用して、自動または半自動の修正アクションを構築できます。ただし、セキュリティ、運用、およびコスト最適化チェックが含まれる場合がある独自のコンプライアンスまたはセキュリティ標準を組み合わせるには、AWS Config コンフォーマンスパックが最適です。
AWS Config コンフォーマンスパックは、AWS Config ルールと関連する是正アクションのグループを 1 つのエンティティにまとめることで、AWS Config ルールの管理を簡素化するために使用できる推奨テンプレートです。このパッケージ化により、組織全体でのルールのデプロイと修正アクションが簡素化されます。また、コンプライアンスの概要をパッケージレベルで報告できるため、集約された報告も可能になります。AWS Config コンフォーマンスのサンプルから始めて、必要に応じてカスタマイズできます。
AWS Security Hub と AWS Config コンフォーマンスパックは、いずれも継続的なモニタリングをサポートしていますか?
はい、セキュリティハブとAWS Configコンフォーマンスパックはどちらもコンプライアンスの継続的な監視をサポートしています。基盤となる AWS Config ルールは、定期的に、またはリソースの設定に対する変更を検知したときにトリガーできます。AWS Config を使用すると、お客様の AWS リソースの設定と企業ポリシーおよびガイドラインとの全体的なコンプライアンスが継続的に監査および評価されます。
AWS Audit Manager と AWS Security Hub はどのような場合に使用しますか?
それらは互いに補完し合うので、両方を使うべきです。AWS Audit Manager は、規制および業界標準へのコンプライアンスを継続的に評価するために、監査およびコンプライアンスの専門家によって使用されます。AWS Security Hub は、セキュリティとコンプライアンスの専門家および DevOps エンジニアが、AWS アカウントとリソースのセキュリティ体制を継続的にモニタリングおよび改善するために使用します。Security Hub は、さまざまな業界および規制のフレームワークに合わせて自動化されたセキュリティチェックを実施します。Audit Manager は、これらの Security Hub チェックによって生成された検出結果を証拠とすることができるような形式で自動的に収集し、AWS CloudTrail ログなどの他の証拠と組み合わせて、お客様が評価レポートを生成できるようにします。
Audit Manager は、サポートされている各フレームワークのコントロールの完全なセットをカバーします。これには、自動化された証拠が関連付けられているコントロールや、インシデント対応計画の存在など、手動で証拠をアップロードする必要があるコントロールが含まれます。
Security Hub は、Audit Manager でサポートされている各フレームワークのコントロールのサブセットのセキュリティチェックを介して自動化された証拠を生成することに重点を置いています。CloudTrail などの他の AWS のサービスからの証拠、またはユーザーによってアップロードされる、人間が用意する証拠を必要とするコントロールは、Security Hub の対象外です。
AWS Systems Manager と AWS Security Hub はどのような場合に使用しますか?
AWS Systems Manager は AWS の運用ハブであり、インフラストラクチャを簡単に管理できるようにします。AWS Systems Manager OpsCenter は、IT オペレータや DevOps エンジニアが AWS リソースに関連する運用上の問題を一元的に診断および解決できます。また、AWS Systems Manager Explorer は、AWS アカウントやリージョン全体の運用データを表示する運用ダッシュボードです。セキュリティとコンプライアンスの専門家とDevOpsエンジニアは、Security Hubを使用して、AWSアカウントとリソースのセキュリティ体制を継続的に監視し、改善しています。
ほとんどのお客様は、セキュリティの問題 (例えば、Amazon S3 バケットが公開されている、Amazon EC2 インスタンスでクリプトマイニングが検出された) と運用上の問題 (例えば、Amazon Redshift インスタンスが十分に活用されていない、または Amazon EC2 インスタンスが過剰に利用されている) を切り分けています。これは、セキュリティの問題の機密性が他かっく、通常はアクセス要件が異なるためです。そのため、これらのお客様は、Security Hub を使用してセキュリティの問題を理解、管理、および是正し、Systems Manager を使用して運用上の問題を理解、管理、および是正しています。また、セキュリティ体制に関するより詳しい情報を得るために Security Hub を使用することをお勧めします。
同じエンジニアがセキュリティの問題と運用上の問題の両方に取り組む場合、それらを 1 か所に統合すると便利です。これを行うには、検出結果が OpsCenter および Explorer に送信されるようにオプトインします。エンジニアは、AWS Systems Manager Automation ランブックを使用して、運用上の問題とともにセキュリティの問題を調査および是正できます。
AWS Control Tower と Security Hub はどのように異なりますか?
セキュリティハブでの作業
すべて開くAWS Security Hub でどれが最も重要なセキュリティの問題であるかを確認するにはどうすればよいですか?
最も重要なセキュリティの問題を確認する方法は複数あります。Security Hub ダッシュボードには、最も多くの検出結果を含んでいるリソース、時間の経過とともに大量のセキュリティ検出結果が変化する様、最も多くの検出結果を生成しているインサイトが表示されます。ダッシュボードをカスタマイズして、組織にとって最も関連性の高いセキュリティデータをフィルタリングして表示することができます。インサイトのページに移動し、マネージドインサイトを使用して、優先度の高い問題を特定することができます。固有のカスタマイズしたインサイトを作成することもできます。
セキュリティのベストプラクティスまたはセキュリティ標準に照らしてどのように測定すればよいか、Security Hub で指示を受けることはできますか?
はい。Security Hub では、セキュリティ標準に対してどのようにセキュリティを実践しているかを示すスコアが作成されます。このスコアは、Security Hub のメインダッシュボードに表示されます。セキュリティ標準までクリックを続けると、注意を要する制御のまとめが表示されます。その制御がどのように評価されたか、そして問題を緩和する方法に関する参考情報としてのベストプラクティスが表示されます。
セキュリティ標準で 100% のスコアを得たということは、そのセキュリティ標準の監査に合格できるということですか?
いいえ。Security Hub は自動セキュリティチェックに重点を置いています。ほとんどのセキュリティ標準には、自動での方法では確認できないさまざまなコントロールがあります。しかし、これらは Security Hub の範囲外です。Security Hub のセキュリティチェックは監査の準備に役立ちます。しかし、セキュリティ標準に関する監査に合格することを意味するものではありません。
Security Hub が実行するチェックをカスタマイズできますか?
はい。Security Hub を使用すると、Security Hub を使用して組織の特定のニーズに合わせてセキュリティチェックを行うことができます。これはパラメータをカスタマイズすることで実現できます。たとえば、強力な IAM パスワードの意味や、未使用の認証情報を削除したり、未使用のインスタンスを停止したりするための最大期間を定義できます。
Security Hub で、最も必要なセキュリティデータを優先するにはどうすればよいですか?
Security Hub は、GuardDuty、Inspector、Macie などの他のセキュリティサービスのコンソールに取って代わる予定ですか?
いいえ。Security Hub は AWS が提供するセキュリティサービスに追加される補完的なものです。実際には、追加のコンテキストが得られるように、Security Hub に他のコンソールに戻るリンクが設けられます。Security Hub では、各セキュリティサービス内で提供される設定、構成、特殊な機能は再現されません。
Security Hub がサポートしている PCI DSS の具体的なコントロールにはどのようなものがありますか?
Security Hub の Payment Card Industry Data Security Standard (PCI DSS) は、一連の AWS セキュリティベストプラクティスコントロールで構成されています。各コントロールは特定の AWS リソースに適用され、1 つ以上の PCI DSS 要件に関連しています。Security Hub は、PCI DSS バージョン 3.2.1 とバージョン 4.0.1 の両方をサポートするようになりました。Security Hub のドキュメントには、Security Hub の PCI DSS チェックが特定の PCI DSS 要件にどのようにマッピングされるかについての詳細な記載があります。