セキュリティ標準とコンプライアンススコア

検出結果の集約は、Security Hubの価値の半分にすぎません。もう半分は、ベストプラクティスの基準に照らしてアカウントを継続的にチェックし、スコアを提示することです。これにより、何に攻撃されたかだけでなく、そもそも設定がどの程度さらされているかを把握できます。

セキュリティ基準とは、ベストプラクティスに照らしてリソースをチェックする、自動化されたコントロールの集合です。Security Hubはこれらのチェックを定期的に実行し、各コントロールを合格または不合格として報告します。これにより、「安全な状態か」という曖昧な問いを、具体的で測定可能な結果に変えられます。

Security Hubでは、AWS Foundational Security Best Practices（FSBP）、Center for Internet Security（CIS）AWS Foundations Benchmark、PCI DSSおよびNISTに対応した基準などを利用できます。それぞれ対象が異なり、一般的なセキュリティ強化から特定のコンプライアンス要件まで対応します。

FSBPはAWS独自の幅広いチェックセットで、多数のサービスを対象としています。たとえば、「S3バケットではパブリックアクセスをブロックする必要がある」や「IAMルートユーザーではMFAを有効にする必要がある」といったチェックがあります。AWS全体に対する最新のガイダンスを反映しているため、ほとんどのアカウントで推奨される出発点です。

CIS AWS Foundations Benchmarkは、Center for Internet Securityが管理する、業界標準のセキュリティ強化ガイドです。Security Hubで有効にすると、広く認められた共通のコントロールに照らしてアカウントをチェックできます。監査でCISへの準拠を特に求められる場合に役立ちます。

各基準は個々のコントロールで構成され、各コントロールは合格、不合格、利用不可のいずれかのステータスを報告します。不合格のコントロールは修正可能な検出結果を生成します。環境に適用されないコントロールは無効にできるため、結果への不要な影響を避けられます。

Security Hubは、セキュリティスコアとして、有効になっているコントロールのうち合格した割合を計算します。スコアが高いほど、セキュリティ体制が強固であることを示します。スコアは経営層が進捗を追跡するための分かりやすい指標となり、基になる不合格コントロールはエンジニアが取り組むべき作業一覧になります。

複数の基準で重複するコントロールは多数あります。Security Hubでは、コントロールの検出結果を統合できるため、1つの根本的な問題が何度も報告されることを防げます。複数の基準が同じ項目をチェックしていても、スコアと検出結果の一覧を整理された状態に保てます。

不合格のコントロールは、修正対応を行う検出結果です。多くの場合、修正手順も用意されています。EventBridgeを介して自動修正を行ったり、チケット管理システムに送ったりできます。コントロールが不合格から合格に変わるとスコアも向上し、進捗を測定できるようになります。

すべてのコントロールが、すべてのアカウントに適用できるわけではありません。適用されない個々のコントロールを無効化でき、一部のコントロールでは、必要なパスワードの最小長など、ポリシーに合わせてパラメータを設定できます。コントロールを調整するとセキュリティスコアの意味が保たれます。無関係なチェックによってスコアが下がると、修正の指針ではなく誤解を招く指標になってしまうためです。

重要な依存関係として、一部のSecurity Hubコントロールは、リソース設定を記録するAWS Configに依存しています。Configが関連するリソースタイプを記録していない場合、これらのコントロールは評価できず、データなしと表示されることがあります。そのため、セキュリティ体制を完全に管理するには、Security Hubと併せてConfigも有効にします。試験ではこの依存関係が隠れた前提として扱われることがあり、多くのコントロールチェックをConfigが支えていることを理解しておく必要があります。

ニーズに合う基準を選びます。

Security Hubは、AWSのFSBP、CIS Benchmark、PCI DSSおよびNISTに対応した基準など、複数の自動化されたコントロールから成るセキュリティ基準を実行して、セキュリティ体制を測定します。各コントロールは合格または不合格を報告し、合格率を示すセキュリティスコアを生成します。関係のないコントロールは無効にし、重複するコントロールは統合し、不合格の項目を修正してスコアを高めます。