Security Hubが集約する情報

セキュリティサービスを追加すると、多数のコンソールにアラートが蓄積します。AWS Security Hubは中央アグリゲーターとして機能し、多数のAWSセキュリティサービスやパートナーツールから検出結果を収集して1つのビューにまとめることで、この問題を解決します。各サービスを個別に確認するのではなく、1か所からトリアージできます。

Security Hubは、GuardDuty、Macie、Inspector、IAM Access Analyzer、Firewall Managerなどのサービスに加え、サードパーティ製品からも検出結果を取り込みます。また、独自の自動セキュリティチェックも実行します。その結果、アカウント全体の問題をまとめた統合バックログが作成されます。

サービスごとに検出結果の表現方法は異なります。Security Hubはそれらをすべて、AWS Security Finding Format（ASFF）という標準構造に変換するため、発生元にかかわらず、すべての検出結果を一貫した形式で確認できます。この正規化によって、単一画面での管理が可能になります。

Security Hubは単なる収集サービスではありません。自動チェックを使用して、セキュリティ基準に照らしてアカウントを評価します。これらのチェックによって、設定ミスに関する独自の検出結果が生成されるため、外部からのアラートと継続的なセキュリティ体制の評価を、1つのサービスで行えます。

検出結果はリージョン単位で管理されるため、Security Hubには、多数のリージョンからの検出結果を1つの集約リージョンにまとめるクロスリージョン集約機能があります。これにより、リージョンごとに分断された状態ではなく、環境全体を対象とした単一のビューをセキュリティチームに提供できます。

GuardDutyと同様に、Security Hubは委任管理者とAWS Organizationsとの統合をサポートしています。1つのセキュリティアカウントで、すべてのメンバーアカウントから検出結果を集約でき、新しいアカウントには自動的に有効化できます。これをクロスリージョン集約と組み合わせることで、組織全体を可視化できます。

Security Hubは重複排除と正規化によってノイズを減らし、アナリストが全体像を把握しやすくします。関連する検出結果をグループ化でき、重要度も統一されるため、ソースが異なっても公平に優先順位を付けられます。目標は、より少なく、より明確で、より対応しやすいアラートにすることです。

Security HubはEventBridgeと統合できるため、集約された検出結果を自動対応のトリガーにしたり、チケット管理ツールやチャットツールに転送したりできます。これにより、中央ハブを単なるダッシュボードではなく、対応ワークフローの起点として利用できます。

処理の流れは、検出、集約、調査、対応だと考えてください。GuardDutyなどが検出し、Security Hubが集約してスコアリングし、Detectiveが調査し、EventBridgeとLambdaが対応します。Security Hubは、検出とアクションを結び付ける中枢神経系の役割を果たします。

Security Hubが集約する検出結果は、複数のカテゴリにまたがります。GuardDutyによる脅威の検出、Macieによる機密データの検出、Inspectorによる脆弱性の検出、IAM Access Analyzerによるアクセスに関する検出結果などです。脅威、脆弱性、データリスク、アクセスリスクを1か所に集約することで、Security Hubはセキュリティ体制を確認する真の単一画面となります。

あるサービスの検出結果を取り込むには、そのサービスをSecurity Hubで有効化および統合する必要があります。多くのAWSソースは、Security Hubを有効にすると自動的に統合されます。パートナー製品は統合ページから統合します。よくある問題は、有効化していないソースから検出結果が届くと期待してしまうことです。そのため、集約を設定する際は、統合が有効になっていることを確認します。

集約サービスを選択します。

Security Hubは、GuardDuty、Macie、Inspector、Access Analyzer、パートナー製品からの検出結果を一元化し、ASFF形式に正規化します。また、基準に基づくセキュリティ体制のチェックも実行します。クロスリージョン集約とクロスアカウント集約（委任管理者）をサポートし、対応のためにEventBridgeへ連携できるため、セキュリティ検出結果を確認する単一画面として機能します。