AWS Security Hub - セキュリティチェックの自動化、セキュリティアラートの一元管理

AWS Security Hub を有効化

AWS Config でリソースの記録を有効化した後、Security Hub を有効化します。

Security Hub を有効化する手順：

① Security Hub コンソールを開きます。

② 必要なセキュリティ基準にチェックを入れて、Security Hub の有効化 をクリックします。

注）Security Hub 固有のセキュリティ基準

• AWS 基礎セキュリティのベストプラクティス v1.0.0

AWS セキュリティエキスパートによって精査され、高度にキュレートされたセキュリティに関するベストプラクティスです。

• CIS AWS Foundations Benchmark v1.2.0

米国の CIS（Center for Internet Security）が発行している AWS を安全に利用するための構成基準及びベストプラクティスに関するガイドラインです。

• Payment Card Industry Data Security Standard  v3.2.1

略称、PCI DSS v3.2.1。クレジットカードデータを安全に取り扱うために策定されたクレジットカード業界のセキュリティ基準です。

セキュリティチェックを実行するタイミング

セキュリティ標準が有効化されると、Security Hub は全てのチェックを開始し、チェック完了まで最大 2 時間かかります。初回コントロールチェックの実行が完了するまで、ステータスは「No data」の状態となります。

初回チェックの後、各コントロールのチェックは、定期的にもしくはトリガーにより実行されます。

• 定期チェックの場合、最後の実行から 12 時間以内に自動的に実行されます。周期を変更することはできません。
• 変更によってトリガーされるチェックは、関連付けられたリソースの状態が変更されたときに実行されます。リソースの状態が変わらない場合でも、18 時間ごとに実行されます。

注）コントロールとは、有効化されたセキュリティ基準やマネージド型ルールのことです。

セキュリティスコアと重要度

セキュリティチェック完了後、Security Hub の概要ページを確認しましょう。

• セキュリティ基準別のスコアと全体のセキュリティスコアが示されます。
• リージョン別での検出結果に重要度付きで表示されます。数字 のところをクリックすると、詳細が表示されます。（現時点では、東京リージョンのみ Security Hub を有効化したため、東京リージョンの検出結果のみが表示されます。）

セキュリティスコアの計算方法

• セキュリティスコアは、有効になっているコントロールのうち、合格のコントロールの割合を示します。

例えば、100 個のコントロールが有効になって、そのうち 65 個が合格である場合、セキュリティスコアは 65% になります。

• 有効になっているコントロールのうち、結果がないコントロールを無視します。

例えば、110 のコントロールが有効になって、そのうち 65 個が合格で、 10 個が「No data」の場合、計算では「No data」のコントロールが無視され、セキュリティスコアは 65% になります。

• 集約リージョンを設定している場合、全体のセキュリティスコアは、リンクされた全てのリージョンの結果を含めたスコアとなります。
• Security Hub の管理アカウントの場合、セキュリティスコアには、全てのメンバーアカウント及び全てのリージョンのスコアが含まれます。

重要度の評価基準

コントロールの重要度は、二つの評価基準にもとづいて決定されます:

• 攻撃者がコントロールに関連する構成上の脆弱性を利用して、不正行為を実施する際の難易度。

例えば、MFA（多要素認証）が設定されていないという脆弱性を利用して、アカウントに侵入する行為の難易度は、この評価基準に該当します。

• 脆弱性が AWS アカウントまたはリソースの侵害につながる可能性。

上記の例では、MFA 認識が設定されていないため、侵害者はアカウント ID とパスワードを手に入れたら、AWS リソースにアクセスできてしまいます。 

重要度マトリックス

引用元：重要度の基準

重要度の定義

• 重大：問題が深刻化しないように直ちに修復すべき
• 高　：優先事項として、問題を早期に対処すべき
• 中　：優先事項として、なるべく問題を早期に対処すべき
• 低　：対処不要
• 情報：脆弱性を未発見（ステータスは PASSED、WARNING、NOT AVAILABLE を含む）

クロスリージョン集約を有効化

クロスリージョン集約とは

クロスリージョン集約を使用すると、複数のリージョンからの検出結果、検出結果の更新、インサイト、コンプライアンスステータスの制御、及びセキュリティスコアを一つのリージョン（集約リージョン）に集約することができます。さらに集約リージョンからこれらのデータを管理することもできます。

例えば、東京リージョンを集約リージョンとして設定し、大阪リージョンとバージニア北部リージョンをリンクされたリージョンとして設定するとします。 東京リージョンの検出結果ページには、三つのリージョンの検出結果が表示されます。検出結果が更新されたら、三つのリージョンの検出結果ページにも反映されます。

引用元：クロスリージョン集約の仕組み

クロスリージョン集約を有効化する手順：

クロスリージョン集約を有効するには、集約リージョンとなるリージョンから有効化する必要があります。

① Security Hub コンソール を開きます。

② AWS のリージョンを集約リージョンとして使用するリージョンに変更します。今回は東京リージョンにします。

③ Security Hub ナビゲーションメニューで、設定 > リージョン の順にクリックします。

④ アジアパシフィック (東京) - ap-northeast-1 を選択します。

⑤ リンクされたリージョンで、データの集約元となるリージョンを選択します。

　 例えば、大阪とバージニア北部を選択します。

⑥ 保存 をクリックします。

ご参照：

• クロスリージョン集約を無効化するには、手順③のところで、集約リージョンなし に設定します。
• 集約リージョンを変更するには、以下を実行する必要があります:
  • クロスリージョン集約を無効化します。
  • AWS のリージョンを新しい集約リージョンに変更します。
  • クロスリージョン集約を有効にします。

クロスリージョン集約を有効化したら、Security Hub の集約リージョン（東京）で確認すると、リンクされたリージョンの検出結果も反映されていることが分かります。

重要度の欄の数字は、ワークフローステータスが NEW または NOTIFIED の検出結果のみが含まれます。

重要度の欄の数字をクリックすると、詳細がリストされます。リストが重要度／リージョン／ワークフローステータス／レコードの状態でフィルタリングされます。

メンバーアカウントを追加

マルチアカウントを利用する場合、一つのアカウントを Security Hub の管理アカウント（委任管理アカウント）として指定し、他のアカウントをメンバーアカウントとして Security Hub の管理アカウントに追加することができます。

Security Hub の管理アカウントにメンバーアカウントを追加するには、二つの方法があります。

• AWS Organizations を利用（via Organizations）

Security Hub の管理アカウントとメンバーアカウントは同じ組織に属する必要があります。

• アカウントを招待（by Invitation）

組織内もしくは組織外のアカウントを追加できます。

メンバーアカウントの追加手順 - via Organizations：

AWS Organizations を利用して、メンバーアカウントを追加するには、まず、Security Hub の管理アカウントを指定する必要があります。次に、Security Hub の管理アカウントよりメンバーアカウントを追加します。

Security Hub の管理アカウントを指定するには、組織のマスターアカウントより実施します。

① マスターアカウントから Security Hub コンソールを開きます。

② Security Hub ナビゲーションメニューで、設定 > 一般 の順にクリックします。

③ 委任された管理者アカウント ID のところにメンバーアカウント ID を入力して、委任 をクリックします。

④ Security Hub の管理アカウントを指定した後、管理アカウントコンソール > 設定 > アカウント ページに組織の全てのアカウントがリストアップされます。

注）組織のアカウントリストは、Security Hub の管理アカウントのみに表示されます。組織のマスターアカウントにアカウントリストを表示するにも、マスターアカウントを Security Hub の管理アカウントとして指定する必要があります。

続いて、Security Hub の管理アカウントより、メンバーアカウントを追加します。

⑤ Security Hub の管理アカウントから Security Hub コンソールを開きます。

② 設定 > アカウント の順にクリックします。

③ 対象のアカウントを選択します。

④ Actions > Add member の順にクリックします。

メンバーアカウントの追加手順 - by Invitation：

組織外のアカウントを追加する時、この方法を使います。まず、Security Hub の管理アカウントよりメンバーアカウントを招待します。次に、メンバーアカウントより招待を承認します。

Security Hub の管理アカウントより、メンバーアカウントを招待します。

① Security Hub コンソールを開きます。 

② 設定 > アカウント の順にクリックします。

③ 対象のアカウント ID を入力し、Add をクリックします。(Email を入力しなくても大丈夫です。手順の一部を省略させていただきます。)    

続いて、招待されたアカウントより、招待を承認します。

④ Security Hub コンソールを開きます。 

⑤ 設定 > アカウント の順にクリックします。

⑥ Accept ボタンをオンにして、Accept Inviataion をクリックします。（拒否するには、Decline invitation をクリックします。）

他サービスとの統合

Security Hub コンソールの 統合 ページで、Security Hub と統合できる AWS サービスとパートナーサービスを確認／設定できます。

記事作成時点では、13 個の AWS サービスと 68 個のパートナーサービスとの統合が可能です。

注）パートナーサービスの詳細は、AWS Security Hub のパートナーをご参照ください。本記事では、パートナーサービスについての説明を対象外とします。

Security Hub と統合できる AWS サービス

Security Hub と統合できる 13 個の AWS サービスについて、Security Hub との送受信方向にもとづいて、大きく 2 種類に分類できます。

• サービスの検出結果を Security Hub へ送信
• Security Hub からの検出結果を受信

引用元：AWS サービスとの統合

これからは、2 種類のサービスからそれぞれ一例を挙げて説明します。 

• 検出結果を Security Hub へ送信するサービスについて、AWS Config を例にします。
• Security Hub からの検出結果を受信するサービスについて、AWS Trusted Adviser を例にします。

検出結果を確認 - AWS Config の例

AWS サービスの中で、検出結果が Security Hub へ送信される場合、Security Hub コンソールより、そのサービスの 結果を参照 をクリックして、検出結果を確認することができます。

例えば、AWS Config からの検出結果を確認すると、前の工程で設定した AWS Config ルール ec2-ebs-encryption-by-default についての評価結果が表示されます。

リストは、製品名／ワークフローステータス（NEW）／ワークフローステータス（NOTIFIED）／レコードの状態でフィルタリングされます。

検出結果を確認 - AWS Trusted Adviser の例

AWS Trusted Adviser は Secrity Hub からの検出結果を受信することができます。Security Hub を有効にすると、Trusted Advisor コンソールでセキュリティコントロールとその検出結果を確認できます。

① Trusted Adviser コンソールを開きます。

② セキュリティ ページ、ソース のところで AWS Security Hub を選択します。

注）Security Hub が新しいコントロールを AWS 基礎セキュリティのベストプラクティス v1.0.0 に追加すると、Trusted Advisor でそれらを表示できるようになるまでに 2〜4 週間の遅延が生じる可能性があります。 

Service-linked ルール

Security Hub は、IAM service-linked ロールを使用します。 service-linked ロールは、Security Hub によって事前定義されており、Security Hub がユーザに代わって他の AWS サービスを呼び出すために必要な全てのアクセス許可が含まれています。

Security Hub を有効化した後、AWS Config のルールページを再度確認して、Security Hub を有効化した前と比べてみます。

前の工程で追加した二つのルール以外に、Security Hub によって作成された service-linked ルールがたくさん表示されていることが分かります。

これらのルールは、元のルール名の前に securityhub とルール名の後に一意の識別子が加えられます。

例えば、元の AWS Config の管理ルール s3-bucket-public-write-prohibited の場合、service-linked ルール名は securityhub-s3-bucket-public-write-prohibited-0e59a5aa になります。

検出結果

今まで、いろいろなところで検出結果を見てきましたが、このセクションでは、検出結果にフィルタをかけて、検出結果を絞ってみたいと思います。

検出結果となるデータソース

Security Hub では、以下のデータソースから検出結果を収集します。

• 有効化されている Security Hub と統合できる AWS サービス
• 有効化されている Security Hub と統合できるパートナーサービス
• カスタマーサービス（BatchImportFindings API を使って、他のセキュリティ製品によって生成された検出結果を手動で Security Hub に送信できます。）
• 有効化されているコントロール（Security Hub 固有のセキュリティ標準）
  • AWS 基礎セキュリティのベストプラクティス v1.0.0
  • CIS AWS Foundations Benchmark v1.2.0
  • PCI DSS v3.2.1

検出結果をフィルタリングしてみる

検出結果のページで、フィルタリングしていろいろな結果を抽出できます。

例えば、アカウント ID と重要度ラベル「CRITICAL」を指定して、特定のアカウントの特定重要度の検出結果のみを表示できます。

例えば、製品名「Config」を指定して、AWS Config からの検出結果のみを表示できます。

前の工程で、Config ルール s3-bucket-public-write-prohibited と ec2-ebs-encryption-by-default のみ有効化したため、検出結果に両者と関わる事項のみ表示されます。

インサイト

インサイト ページでは、複数のデータソースからの検出結果のうち、関係のあるものを同じカテゴリにまとめています。

2 種類のインサイトがあります。

• 組み込みのマネージド型インサイト。（18 個あり、変更もしくは削除できません。）
• カスタムインサイト。（ユーザ自身で作ったものです。）

各カテゴリをクリックすると、インサイトの詳細が表示されます。Security Hub では、最大 100 件のインサイト結果しか表示されません。100 を超えた場合、最初の 100 個のみ表示されます。

検出結果リストに加え、次のチャートも表示されます。

• 重要度ラベル：各重要度ラベルの検出結果の数
• AWS アカウント ID：検出結果の上位 5 つのアカウント ID
• リソースタイプ：検出結果の上位 5 つのリソースタイプ
• リソース ID：検出結果の上位 5 つのリソース ID
• 製品名：検出結果の上位 5 つのデータソース

料金

Security Hub の料金は、二つのディメンションによって計算されます。

• セキュリティチェックの数（異なる標準に共通するコントロールが同じリソースに対して評価された場合、課金は 1 回のみ）
• 取り込まれた検出結果の数量

東京リージョンの料金

料金についての補足情報

• 集約リージョンを利用する場合、リンクされたリージョンから集約リージョンに検出結果を転送する際、別途で転送料が発生しません。Security Hub が新しいデータや更新を複製しても、請求は発生しません。
• Security Hub で生成された結果は Security Hub のコンソールにて 90 日間保持されます。これに関する料金の発生はありません。
  • 90 日間以上結果を保管したい場合には、結果を Amazon S3 バケットにルーティングする EventBridge でルールを設定できます。この場合は、EventBridge 等、設定に利用したサービス分の料金が発生し得ます。
  • 検出結果は、最新の更新から 90 日後、または更新が行われない場合は作成日から 90 日後に削除されます。

まとめ

数多くの AWS セキュリティサービスからの検出結果をそれぞれのサービスで確認するのは、工数がかかる一方、検出されたセキュリティアラートに対して、どちらを優先的に対応すべきかを決めるにも手間がかかります。Security Hub を利用すれば、各セキュリティサービスからの検出結果を一元管理できますし、各検出結果に重要度が表示されて、修復作業の優先順位付けに役立ちます。

Security Hub は、AWS セキュリティエキスパートによって精査されたセキュリティベストプラクティスと業界のコンプライアンスフレームワークを利用しているので、Security Hub からの指摘に対応していくうちに、AWS 環境のセキュリティやコンプライアンス遵守を一段階上げることが間違いなく実現できます。

関連サービス