AWS Security Hub 入門 - 統合セキュリティ管理とCSPM ​

複数のセキュリティツールを運用する現代の企業では、情報の分散と重複が深刻な課題となっています。 AWS Security Hubは、AWS環境全体のセキュリティ態勢を一元的に管理する CSPM (Cloud Security Posture Management) 機能と、複数のセキュリティサービスからの検出結果を統合するハブ機能を提供します。

AWS Security Hub とは ​

Security Hubは、セキュリティ情報の「収集」「優先順位付け」「自動化」を行う中心的なサービスです。 GuardDuty, Inspector, Macie, IAM Access Analyzer, Firewall Manager などのAWSサービスや、サードパーティ製品からの検出結果（Findings）を AWS Security Finding Format (ASFF) という標準形式で集約します。

新しくなったダッシュボード構成 ​

最新のSecurity Hubは、セキュリティ領域ごとに情報を整理して表示します：

  1. Exposure (露出): Amazon Inspectorなどの脆弱性情報や、公開設定のリソース状況
  2. Threats (脅威): Amazon GuardDutyなどが検出したアクティブな脅威
  3. Vulnerabilities (脆弱性): パッチ未適用や設定不備などの脆弱性詳細
  4. Posture management (態勢管理): セキュリティ基準（Security Standards）に対する準拠状況
  5. Sensitive data (機密データ): Amazon Macieが検出したS3バケット内の機密データ保護状況

CSPM (Cloud Security Posture Management) 機能 ​

Security Hubの核となるのが、AWS環境設定の安全性を継続的にチェックするCSPM機能です。

セキュリティ基準 (Security Standards) ​

業界標準やAWSのベストプラクティスに基づく自動チェック機能を提供します。 有効化するだけで、数分以内に環境全体のチェックが開始されます。

  • AWS Foundational Security Best Practices (FSBP): AWSが推奨する基本的なセキュリティチェック（推奨）
  • CIS AWS Foundations Benchmark: Center for Internet Securityが策定したベンチマーク
  • PCI DSS: クレジットカード業界のデータセキュリティ基準
  • NIST CSF: 米国国立標準技術研究所のサイバーセキュリティフレームワーク

コントロールの統合 ​

以前は基準ごとにチェック項目が重複していましたが、現在は「統合コントロール (Consolidated Controls)」により、1つのチェック項目（例: "S3.1"）が複数の基準（FSBPとPCI DSSなど）にマッピングされます。 これにより、アラートの重複が排除され、より効率的な運用が可能になりました。

自動化ルールと運用効率化 ​

運用負荷を下げるための重要な機能が「自動化ルール (Automation Rules)」です。 検出結果に対して、条件に応じたアクションを自動的に適用できます。

自動化ルールの活用例 ​

  1. 低リスクな情報の抑制:

    • 条件: Severity = LOW かつ ResourceTag:Env = Dev
    • アクション: 検出結果のステータスを Suppressed に変更（アラート通知しない）

  2. 重要アラートの即時通知:

    • 条件: Severity = CRITICAL
    • アクション: EventBridge経由でSlackに通知、またはJiraチケット起票

  3. 自動修復 (EventBridge連携):

    • 条件: Security Group 0.0.0.0/0 ingress 検出
    • アクション: Lambda関数をトリガーして、該当ルールを自動削除

導入のメリット ​

  1. セキュリティスコアの可視化: 0〜100%のスコアで、現在の環境がどれくらい安全かを定量的に評価できます。
  2. 一元的な管理: GuardDutyやInspectorの結果を個別に確認する必要がなくなり、Security Hubだけで状況を把握できます。
  3. 運用の標準化: ASFF形式により、どのツールからのアラートも同じフォーマットで扱えるため、自動化や分析が容易になります。

まとめ ​

AWS Security Hubは、単なる「アラートまとめツール」から、クラウドセキュリティ態勢管理 (CSPM) の中核サービスへと進化しました。 AWS環境のセキュリティレベルを維持・向上させるためには、まずSecurity Hubを有効化し、AWS Foundational Security Best Practices を100%準拠に近づける活動から始めることを強くお勧めします。

参考: AWS Security Hub User Guide