評価と証拠収集の問題に関するトラブルシューティング

このページの情報を参照して、Audit Manager での一般的な評価と証拠収集の問題を解決できます。

評価を作成しましたが、まだ証拠が表示されません

証拠が表示されない場合は、評価を作成してから 24 時間が経過していなかったか、設定エラーが発生している可能性があります。

次を確認することをお勧めします。

それでも評価に証拠が見つからず、これらの問題のいずれかが原因ではない場合は、このページで説明されている他の考えられる原因を確認してください。

私の評価では、AWS Security Hub からコンプライアンスチェックの証拠が収集されていません

AWS Security Hub コントロールのコンプライアンスチェックの証拠が表示されない場合は、以下のいずれかの問題が原因である可能性があります。

Security Hub でセキュリティコントロールを無効にしました。Audit Manager は、このセキュリティコントロールのコンプライアンスチェックの証拠を収集しますか?

Audit Manager は、無効化されたセキュリティコントロールの証拠は収集しません。

Security Hub でセキュリティコントロールのステータスを無効に設定した場合、現在のアカウントとリージョンでそのコントロールのセキュリティチェックは実行されません。その結果、Security Hub でセキュリティ検出結果を利用できなくなり、Audit Manager によって関連する証拠が収集されることはありません。

Security Hub で設定した無効ステータスに従って、Audit Manager は、意図的に無効にしたコントロールを除き、環境に関連するアクティブなセキュリティコントロールと検出結果を正確に評価へ反映します。

Security Hub で検出結果のステータスを Suppressed に設定しました。Audit Manager は、コンプライアンスチェックの証拠を収集しますか?

Audit Manager は、検出結果が抑制されたセキュリティコントロールの証拠を収集します。

Security Hub で検出結果のワークフローステータスを抑制に設定すると、検出結果はレビュー済みで、アクションは必要ではないことを意味します。Audit Manager では、これらの抑制された検出結果は証拠として収集され、評価にアタッチされます。証拠の詳細には、Security Hub から直接報告された SUPPRESSED の評価ステータスが表示されます。

このアプローチにより、Audit Manager の評価に Security Hub からの結果が正確に反映され、監査でさらにレビューや検討が必要な可能性のある抑制された結果も可視化できます。

私の評価では、AWS Config からコンプライアンスチェックの証拠が収集されていません

AWS Configルールのコンプライアンスチェック証拠が表示されない場合は、以下のいずれかの問題が原因である可能性があります。

私の評価では、AWS CloudTrail からユーザーアクティビティの証拠が収集されていません

Audit Manager API を使用してカスタム コントロールを作成する場合、証拠収集のためのデータソースマッピングとして CloudTrail イベント名を指定できます。そのためには、イベント名をkeywordValueとして入力します。

CloudTrail イベントのユーザーアクティビティの証拠が表示されない場合は、ControlMappingSourceにkeywordValueが正しく入力されていない可能性があります。keywordValue は、大文字と小文字が区別されます。誤って入力すると、Audit Manager がイベント名を認識しない可能性があります。その結果、該当イベントのユーザーアクティビティの証拠を意図したとおりに収集できない可能性があります。

この問題を解決するには、カスタムコントロールを更新し、keywordValueを修正してください。イベントがserviceprefix_ActionNameと記述されていることを確認してください。例えば、cloudtrail_StartLogging と指定します。正確さを期すために、サービス認可リファレンスで AWS のサービス プレフィックスとアクション名を確認してください。

私の評価では、AWS API コールの構成データの証拠が収集されていません

Audit Manager API を使用してカスタムコントロールを作成する場合は、証拠収集のためのデータソースマッピングとして AWS API コールを指定できます。そのためには、API コールをkeywordValueとして入力します。

AWSAPI コールの設定データが表示されない場合は、ControlMappingSourceにkeywordValueが誤って入力された可能性があります。keywordValue大文字と小文字を区別します。誤って入力すると、Audit Manager がそのAPI コールを認識しない可能性があります。その結果、その API コールに関する構成データの証拠を意図したとおりに収集できない可能性があります。

この問題を解決するには、カスタムコントロールを更新し、keywordValueを修正してください。API コールがserviceprefix_ActionNameと記述されていることを確認してください。例えば、iam_ListGroups と指定します。精度については、AWS Audit Manager でサポートされている AWS API コール のリストを参照してください。

一般的なコントロールが自動証拠を収集しない

一般的なコントロールをレビューする際、次のメッセージが表示されます。この一般的なコントロールは、コアコントロールから自動証拠を収集しません。

これは、現在、この一般的なコントロールをサポートする AWS マネージド証拠ソースがないことを示します。結果として、証拠ソースタブは空で、コアコントロールは表示されません。

自動証拠を収集しない一般的なコントロールは、手動の一般的なコントロールと呼ばれます。手動の一般的なコントロールでは、通常、物理レコードおよび署名、または AWS 環境外で発生するイベントに関する詳細を提供する必要があります。このため、多くの場合、コントロールの要件を裏付ける証拠を生成できる AWS データソースはありません。

一般的なコントロールが手動の場合、カスタムコントロールの証拠ソースとして使用できます。唯一の違いは、一般的なコントロールが証拠を自動的に収集しないことです。代わりに、一般的なコントロールの要件をサポートするために、独自の証拠を手動でアップロードする必要があります。

証拠がさまざまな間隔で生成されており、収集頻度がわかりません

Audit Manager の評価のコントロールでは、さまざまなデータソースの組み合わせにマッピングされます。データソースごとに、証拠収集の頻度が異なります。その結果、証拠収集の頻度についてあらゆる場合に当てはまる答えはありません。コンプライアンスを評価するデータソースもあれば、リソースの状態をキャプチャし、コンプライアンスに関して判断することなくデータを変更するだけのデータソースもあります。

さまざまなデータソースの種類と証拠を収集する頻度の概要を以下に示します。

証拠収集の頻度にかかわらず、評価がアクティブである限り、新しい証拠が自動的に収集されます。詳細については、「証拠収集の頻度」を参照してください。

詳細については、「自動証拠でサポートされているデータソースタイプ」および「コントロールが証拠を収集する頻度の変更」を参照してください。

Audit Manager を無効にしてから再度有効にしましたが、既存の評価では証拠が収集されなくなりました

Audit Manager を無効にしてデータを削除しないことを選択すると、既存の評価は休止状態になり、証拠の収集が停止します。つまり、Audit Manager を再度有効にしても、以前に作成した評価は引き続き使用できます。ただし、証拠収集は自動的に再開はされません。

既存のアセスメントの証拠の収集を再開するには、評価を編集し、変更を加えずに保存を選択します。

評価の詳細ページで、評価を再作成するように求められる

より包括的な証拠を収集する新しい評価を作成してくださいというメッセージが表示された場合は、評価が作成された標準フレームワークの新しい定義を Audit Manager が提供するようになったことを示します。

新しいフレームワークの定義では、フレームワークのすべての標準コントロールが、AWS マネージドソースから証拠を収集できるようになりました。つまり、一般的なコントロールまたはコアコントロールの基盤となるデータソースが更新されるたびに、Audit Manager は関連するすべての標準コントロールに同じ更新を自動的に適用します。

これらの AWS マネージドソースを活用するには、更新されたフレームワークから新しい評価を作成することをお勧めします。その後、古い評価のステータスを非アクティブに変更することができます。このアクションによって、新しい評価は AWS マネージドソースから入手可能な最も正確で包括的な証拠を確実に収集できるようになります。何もしない場合、評価は引き続き古いフレームワークとコントロール定義を使用して、以前とまったく同じ証拠を収集します。

データソースと証拠ソースの違いは何ですか?

証拠ソースは、証拠が収集される場所を決定します。これは、個々のデータソースでも、コアコントロールまたは一般的なコントロールにマッピングされるデータソースの事前定義されたグループでもかまいません。

データソースは、最も詳細な証拠ソースのタイプです。データソースには、証拠データを収集する正確な場所を Audit Manager に伝える以下の詳細が含まれます。

評価の作成に失敗した

アセスメントの作成に失敗した場合は、評価範囲で選択した AWS アカウント が多すぎることが原因である可能性があります。AWS Organizations を使用している場合は、Audit Manager は、単一の評価の範囲で最大 200 のメンバーアカウントをサポートできます。この数を超えると、評価の作成が失敗する可能性があります。回避策として、各評価の範囲内で異なるアカウントを使用して複数の評価を実行できます。

対象範囲内のアカウントを組織から削除するとどうなりますか?

範囲内のアカウントが組織から削除されると、Audit Manager は、それ以降、そのアカウントの証拠を収集しなくなります。ただし、アカウントは引き続き [AWS アカウント] タブの評価に表示されます。範囲内のアカウントのリストからアカウントを削除するには、評価を編集を実行します。削除されたアカウントは編集中にリストに表示されなくなります。また、そのアカウントが範囲に含まれていなくても変更を保存できます。

評価の範囲内のサービスが表示されない

AWS のサービス タブが表示されない場合、範囲内のサービスが Audit Manager によって管理されていることを示します。新しい評価が作成された時点から、Audit Manager は範囲内のサービスを管理します。

古い評価では、以前このタブは評価に表示されていました。ただし、Audit Manager は評価からこのタブを自動的に削除し、次のいずれかのイベントが発生した場合に、範囲内のサービスの管理を引き継ぎます。

Audit Manager は、評価コントロールとそのデータソースを調べ、この情報を対応する AWS のサービス にマッピングすることで、範囲内のサービスを推測します。評価の基盤となるデータソースが変更された場合、適切なサービスを反映するために、必要に応じて範囲が自動的に更新されます。これにより、AWS 環境内のすべての関連サービスについての正確で包括的な証拠を評価で収集できます。

評価の範囲内のサービスを編集できません

AWS Audit Manager での評価の編集 ワークフローにサービスの編集手順が含まれなくなりました。これは、Audit Manager が評価の対象となる AWS のサービス を管理するようになったためです。

古い評価では、評価を作成した際に、範囲内のサービスを手動で定義していました。ただし、これらのサービスは今後編集することはできません。Audit Manager は、次のいずれかのイベントが発生した場合に、評価の範囲内のサービスの管理を引き継ぎます。

Audit Manager は、評価コントロールとそのデータソースを調べ、この情報を対応する AWS のサービス にマッピングすることで、範囲内のサービスを推測します。評価の基盤となるデータソースが変更された場合、適切なサービスを反映するために、必要に応じて範囲が自動的に更新されます。これにより、AWS 環境内のすべての関連サービスについての正確で包括的な証拠を評価で収集できます。

サービスの対象範囲とデータソースタイプにはどのような違いがありますか?

service in scope は評価の範囲に含まれる AWS のサービス です。サービスが対象範囲内にある場合、Audit Manager は対象サービスとそのリソースの使用状況に関する証拠を収集します。

データソースタイプは、証拠が正確にどこから収集されたかを示します。独自のエビデンスをアップロードする場合、データソースタイプは手動です。Audit Manager が証拠を収集する場合、データソースは 4 つのタイプのいずれかになります。

対象範囲のサービスとデータソースタイプの違いを説明する 2 つの例を次に示します。

例 1

例えば、4.1.2 - S3 バケットへのパブリック書き込みアクセスを許可しないという名前のコントロールの証拠を収集するとします。このコントロールは S3 バケットポリシーのアクセスレベルをチェックします。このコントロールでは、Audit Manager は特定の AWS Config ルール (s3-bucket-public-write-prohibited) を使用して S3 バケットの評価を確認します。この例では、以下のことが当てはまります。

例 2

164.308(a)(5)(ii)(C)という名前の HIPAA コントロールの証拠を収集するとします。このコントロールは、不適切なサインインを検出するためのモニタリング手順を要求します。このコントロールについて、Audit Manager は CloudTrail ログを使用して、すべての AWS マネジメントコンソールサインインイベントを探します。この例では、以下のことが当てはまります。