AWS Security Hub でセキュリティ検出結果を一元管理する

前提条件

1. リージョン: ap-northeast-1（東京）
2. IAM ユーザーまたはロールに Security Hub、Config の操作権限があること
3. AWS Config が有効化されていること（Security Hub のセキュリティ標準チェックには Config が必要です）

> [!NOTE] > 現在の AWS では、セキュリティ標準・コントロール・セキュリティスコアの機能は「AWS Security Hub CSPM」という名前で提供されています（コンソールやドキュメントでは「CSPM」が付いた表記になります）。本記事のハンズオンでは、この Security Hub CSPM のコンソールを操作します。

作成するリソース一覧

ステップ1: Security Hub の有効化

1. AWS マネジメントコンソールにログインし、リージョンが ap-northeast-1（東京）であることを確認します
2. 上部の検索バーに Security Hub CSPM と入力し、表示された「Security Hub CSPM」を選択します
3. 初回アクセスの場合、ランディングページが表示されます。「Security Hub CSPM に移動」をクリックします
4. 「AWS Security Hub CSPM の有効化」画面で、セキュリティ標準を選択します。一覧には CIS・NIST・PCI DSS など 10 以上の標準が並びます。今回は次の 2 つだけにチェックを入れます
   • 「AWS 基礎セキュリティのベストプラクティス v1.0.0」（AWS Foundational Security Best Practices v1.0.0。デフォルトでチェック済み）
   • 「CIS AWS Foundations Benchmark v1.4.0」（デフォルトでは v1.2.0 にチェックが入っているので、v1.2.0 のチェックを外して v1.4.0 にチェックを入れます）
5. 「Security Hub CSPM の有効化」をクリックします。「標準を正常に有効化しました」と表示されます。途中で標準の有効化を確認するダイアログが表示された場合は、「キャンセル」で閉じてかまいません

ステップ2: セキュリティスコアとサマリーの確認

有効化した直後は、コントロールの評価がまだ終わっていないため、スコアは表示されません（画面に、表示されるまでの残り時間の目安が出ます）。今回は、検出結果が約 5 分、スコアとコントロールの状態が約 45 分で表示されました。画面には最長 2 時間かかる旨が表示されます。

1. 左側ナビゲーションの「概要」を選択し、「ダッシュボード」タブを表示します
2. 「セキュリティ基準」のセクションまでスクロールします。有効化したすべてのセキュリティ標準をまとめたセキュリティスコアと、標準ごとのスコアが確認できます。スコアは、各標準のコントロールの評価結果（成功したコントロールの割合）を基に算出されています

ステップ3: セキュリティ標準のコントロール確認

1. 左側ナビゲーションの「セキュリティ基準」を選択します
2. 有効化された標準の一覧が表示されます。「AWS 基礎セキュリティのベストプラクティス v1.0.0」の「結果を表示」をクリックします
3. コントロールの一覧が表示されます。各コントロールには以下の情報が含まれます
   • コントロール ID（例: IAM.1、S3.1）
   • タイトル（例: 「IAM ポリシーでは、完全な "*" 管理者権限を許可しないでください」）
   • 重要度（CRITICAL、HIGH、MEDIUM、LOW）
   • コントロールのステータス（成功 / 失敗 など）
4. ページ左の「コントロールステータス」で「失敗」を選択し、対応が必要なコントロールに絞り込みます

ステップ4: 検出結果の詳細確認

1. コントロール一覧から、FAILED となっているコントロールを 1 つ選択します
2. 該当するコントロールの検出結果一覧が表示されます。検出結果の行をクリックすると、画面右側に詳細が表示されます（「概要」「リソース」「履歴」のタブがあります）
3. 詳細では以下の情報が確認できます
   • リソース: 影響を受けるリソースの ARN やリソースタイプ
   • 是正: コントロールに準拠するための推奨アクションと、関連する AWS ドキュメントへのリンク（「概要」タブ内）

ステップ5: ワークフローステータスの更新

検出結果に対する対応状況を管理するために、ワークフローステータスを更新します。

1. 左側ナビゲーションの「検出結果」を選択します
2. 検出結果の一覧が表示されます。対応済みの検出結果にチェックを入れます
3. 上部の「ワークフローのステータス」ドロップダウンから、適切なステータスを選択します。画面では「新規」「通知済み」「抑制済み」「解決済み」と表示されます（API 上の値はそれぞれ NEW / NOTIFIED / SUPPRESSED / RESOLVED）
   • すぐに対応しない検出結果は「抑制済み」（SUPPRESSED）に設定します
   • 対応が完了した検出結果は「解決済み」（RESOLVED）に設定します

ステップ6: 検出結果のフィルタリング

1. 検出結果一覧画面で、フィルタバーをクリックします
2. 以下のフィルタを組み合わせて、確認したい検出結果に絞り込みます
   • 重要度ラベル: CRITICAL を選択して、最も優先度の高い検出結果のみ表示します
   • ワークフローのステータス: NEW を選択して、未対応の検出結果のみ表示します
   • レコードの状態: ACTIVE を選択して、有効な検出結果のみ表示します
3. 重要度のフィルタには「重要度ラベル」と、名前の似た「プロバイダーの重要度」があります。ここでは「重要度ラベル」を使います

ステップ7: 統合サービスの確認

1. 左側ナビゲーションの「統合」を選択します
2. Security Hub と統合可能な AWS サービスおよびサードパーティ製品の一覧が表示されます
3. AWS サービスの統合セクションでは、Config・GuardDuty・Inspector・Macie などの統合状態が確認できます
4. 検出結果を送ってきているサービスは「接続済み」と表示されます