AWS Security Hub の特徴

AWS Security Hub は、お客様の AWS リソースに対して、自動化された継続的なセキュリティのベストプラクティスのチェックを行うクラウドセキュリティ体制管理サービスです。Security Hub は、さまざまな AWS のサービスやパートナー製品からのセキュリティアラート (= 検出結果) を標準化されたフォーマットで集約し、より簡単にアクションを講じることができます。AWS におけるセキュリティ体制を完全に把握するためには、Amazon GuardDuty からの脅威の検出、Amazon Inspector からの脆弱性、Amazon Macie からの機密データの分類、AWS Config からのリソース設定の問題、AWS パートナーネットワーク製品など、複数のツールやサービスを統合する必要があります。Security Hub は、AWS Config ルールによる自動化されたセキュリティのベストプラクティスのチェックや、何十もの AWS のサービスやパートナー製品との自動統合により、セキュリティ体制の把握と改善を簡素化します。

Security Hub は、すべての AWS アカウントの統合セキュリティスコアによって全体的なセキュリティ体制を把握することができ、AWS Foundational Security Best Practices 標準やその他のコンプライアンスフレームワークによって AWS アカウントのリソースのセキュリティを自動的に評価します。また、数十の AWS セキュリティサービスや APN 製品から得られたすべてのセキュリティ上の検出結果を、AWS Security Finding Format を介して単一の場所とフォーマットに集約し、自動化された応答と修復サポートにより、Mean Time To Remediation (MTTR) を短縮します。Security Hub は、チケット発行、チャット、セキュリティ情報とイベント管理 (SIEM)、Security Orchestration Automation and Response (SOAR)、脅威調査、ガバナンス、リスク、およびコンプライアンス (GRC)、インシデント管理ツールとの統合がすぐに可能で、ユーザーに完全なセキュリティオペレーションワークフローを提供します。

Security Hub の利用を開始するには、マネジメントコンソールから数回クリックするだけで、30 日間の無料トライアルを利用して検出結果の集約やセキュリティチェックを開始することができます。Security Hub を AWS Organizations と統合することで、組織内のすべてのアカウントで自動的にサービスを有効にすることができます。

Security Hub は、AWS Foundational Security Best Practices 標準と呼ばれる一連の自動セキュリティ制御を提供します。これは、AWS セキュリティエキスパートによって精査され、高度にキュレートされたセキュリティに関するベストプラクティスのセットであり、関連付けられたリソースに変更があった場合は継続して常に実行され、または設定された定期的なスケジュールで実行されます。各コントロールには、修復作業の優先順位付けに役立つ特定の重大度スコアがあります。すべてのアカウントとリージョンでこの標準を有効にすることをお勧めします。また、当社は、新しいコントロールと追加のサービスカバレッジを備えることによって、当該標準を継続的に更新しています。

Security Hub は、Amazon GuardDuty からの侵入検出の検出結果、Amazon Inspector からの脆弱性スキャン、Amazon Macie からの Amazon Simple Storage Service (Amazon S3) バケットポリシーの検出結果、IAM Access Analyzer からの一般にアクセス可能なクロスアカウントリソース、および AWS Firewall Manager からの WAF カバレッジのないリソースなど、お使いの環境で有効になっている AWS セキュリティサービスからの検出結果を自動的に収集および統合します。AWS Security Hub は、数重の統合された AWS パートナーネットワーク (APN) のセキュリティソリューションからの検出結果も統合します。すべての検出結果は、最終更新日から 90 日間 Security Hub に保存されます。

従来、セキュリティアラートを単一のシステムに組み合わせる場合、各データソースを解析および正規化して、検索、分析、および応答と修復のアクションのために共通の形式にする必要がありました。Security Hub は、AWS Security Findings Format (ASFF) を導入することにより、これらの時間とリソースを大量に消費するプロセスを排除します。 ASFF を使用すると、Security Hub のすべての統合パートナー (AWS のサービスと外部パートナーの両方を含む) が、1,000 を超える利用可能なフィールドで構成される適切に入力された JSON 形式で検出結果を Security Hub に送信します。つまり、すべてのセキュリティに関する検出結果は、Security Hub に取り込まれる前に正規化され、自ら解析や正規化を行う必要はありません。検出結果は、リソース、重大度、およびタイムスタンプを一貫した方法で識別し、それらをより簡単に検索してアクションを実行できるようにします。

AWS Foundational Security Best Practices 標準に加えて、Security Hub は、Payment Card Industry Data Security Standard (PCI DSS) や Center for Internet Security (CIS) AWS Foundations Benchmark など、業界および規制のフレームワークに合わせた追加の標準も提供します。これらの標準は、継続的な自動セキュリティチェックによっても強化されており、マッピングされている標準の数にかかわらず、セキュリティチェックの料金のお支払いは 1 回だけです。

Security Hub の Amazon EventBridge との統合を使用して、カスタム自動応答、修復、および強化ワークフローを作成できます。Security Hub のすべての検出結果は自動的に EventBridge に送信され、AWS Lambda 関数、AWS Step Function 関数、または AWS Systems Manager Automation ランブックをターゲットとする EventBridge ルールを作成できます。これらの機能またはランブックは、追加データを使用して検出結果を自動的に強化したり、検出結果に対して自動応答および修復アクションを実行したりできます。Security Hub は、カスタムアクションを介したオンデマンドでの EventBridge への検出結果の送信もサポートしているため、自動応答または修復アクションをトリガーするタイミングをアナリストに決定してもらうことができます。Security Hub Automated Response and Remediation (SHARR) ソリューションは、AWS CloudFormation を介してデプロイするための事前にパッケージ化された EventBridge ルールを提供します。

AWS Security Hub コンソールで数回クリックするだけで、複数の AWS アカウントを接続して、これらのアカウントからの検出結果を統合できます。管理者アカウントを指定すると、セキュリティチームがすべてのアカウントで統合された検出事項を表示します。個々のアカウント所有者は自分のアカウントに関連付けられた検出事項のみを表示できます。AWS Organizations との統合により、Security Hub と AWS Foundation Security Best Practices 標準を使用して組織内の任意のアカウントを自動的に有効にすることができます。

AWS Security Hub では、集約リージョンを指定し、一部またはすべてのリージョンをその集約リージョンにリンクすることで、すべてのアカウントとリンクされたすべてのリージョンにまたがるすべての調査結果を一元的に表示することができます。リージョンを集約リージョンにリンクすると、調査結果はリージョン間で継続的に同期され、あるリージョンで調査結果が更新されると、他のリージョンにも反映されます。集約リージョン内の Security Hub 管理者または委任された管理者アカウントは、すべての検出結果を表示および管理できます。集約リージョン内の個別の Security Hub メンバーアカウントは、リンクされたすべてのリージョン全体のすべての検出結果を表示および管理することもできます。管理者アカウントと集約リージョンの Amazon EventBridge フィードには、すべてのメンバーアカウントとリンクされたリージョンのすべての調査結果が含まれるようになりました。これにより、チケット発行、チャット、インシデント管理、ロギング、および自動修復ツールとの統合を、集約リージョンに統合することで簡素化することができます。

Security Hub は、 Security Hub の検出結果を送信する数十の AWS セキュリティサービスおよびパートナー製品との統合に加えて、さまざまなチケット発行、チャット、インシデント管理、脅威調査、ガバナンス、リスク、およびコンプライアンス (GRC)、Security Orchestration Automation and Response (SOAR)、および Security Hub から検出結果を自動的に受信できる Security Information and Event Management (SIEM) ツールとの統合も備えています。これらの統合には、Amazon Detective (脅威調査) や AWS Audit Manager などの AWS のサービスと、Splunk、Slack、PagerDuty、Sumo Logic、ServiceNow ITSM、Atlassian の Jira Service Management などのさまざまなパートナーツールが含まれます。ServiceNow および Jira との統合は双方向であるため、チケットの更新はすべて Security Hub の検出結果と同期されます。

Security Hub は、各標準および有効なすべての標準の各アカウントの単純な 0〜100 のセキュリティスコアを提供するとともに、管理者アカウントに関連付けられているすべてのアカウントの合計スコアも提供します。このスコアは、標準、アカウント、および/または組織用の合格したコントロールと失敗したコントロールの数に基づいています。この情報は、セキュリティ体制の監視に役立つ概要のダッシュボードで、失敗したセキュリティチェックが最も多く存在するリソースなどの他の重要な洞察とともに表示されます。

AWS Security Finding Format のフィールドに基づいて検出結果をフィルタリングし、GroupBy ステートメントを使用して検出結果をバケットに集約できます。例えば、検出結果をフィルタリングして [Critical] (重大) または [High] (高) の重大度の検出結果のみを表示し、リソース ID でグループ化して、どのリソースに [Critical] (重大) または [High] (高) の重大度の検出結果が最も多く存在しているかを確認できます。Security Hub は、これらのタイプの検索インサイトを呼び出します。また、Security Hub は、事前にパッケージ化された両方のマネージドインサイトを提供し、独自のカスタムインサイトを定義できます。各洞察には、洞察に一致する検出結果の経時的な傾向を示す時系列のスパークラインが含まれています。