AWS Security Incident Response とは?

AWS Security Incident Response は、AWS 環境の脅威をモニタリングし、ユーザーに代わってセキュリティ検出結果をトリアージし、アクションが必要な場合にのみユーザーを関与させるマネージドセキュリティサービスです。実際のセキュリティインシデントが発生した場合、セキュリティインシデント対応エンジニアリングチームが調査を行って脅威を封じ込め、復旧に関するガイダンスを提供します。

AWS Security Incident Response は、インシデントのライフサイクル全体 (検出、トリアージ、調査、封じ込め、復旧のガイダンス) をカバーします。このサービスは、NIST の 800-61 コンピュータセキュリティインシデントハンドリングガイドに即して、業界のベストプラクティスに基づくセキュリティイベント管理への一貫したアプローチを提供します。これは他の AWS での検出と対応サービスと連携し、Amazon EventBridge を介して既存のツールと統合します。

仕組み

AWS Security Incident Response はセキュリティ検出結果を生成しません。これは、既に存在する検出ソース (Amazon GuardDuty、AWS Security Hub CSPM を介して統合されたサードパーティーツール) から検出結果を取り込んでユーザーに代わってトリアージします。

このサービスは、設定されたソースからすべての検出結果を取り込みますが、すべてを均等にトリアージするわけではありません。個々の検出結果が本当のセキュリティ脅威を表しているかどうかが自動システムによって評価され、調査を行うために十分なコンテキストが含まれているかが確認されます。この評価に合格した検出結果は、自動化、脅威インテリジェンス、人間の専門知識を組み合わせた複数ステージのトリアージプロセスに進みます。

AWS Security Incident Response は脅威の検出結果のみをトリアージします。セキュリティ体制やコンプライアンスの検出結果 (設定ミスに関するアラートやベンチマーク違反など) は、調査を必要とするアクティブな脅威ではなく、環境に関する状態を示すものなのでトリアージされません。

トリアージと重複排除

トリアージと重複排除は、サービスの中核を成します。AWS Security Incident Response は、お客様のチームに代わって検出結果の分析、関連するシグナルの関連付け、重複排除を行います。

お客様の関与が必要な場合にのみエスカレーションが行われます。すべてのお客様において、取り込まれた結果でお客間の関与を必要とするエスカレーションが行われたのはわずか 1% 未満です。エスカレーションが行われた場合、検出結果に注意が必要であることを意味します。各通知はアクションを必要とする検証済みの懸念事項であるため、これらの通知をミュートまたは抑制するオプションはありません。

トリアージプロセスは動的です。コンテキストが変更された場合、予期される動作として今日評価された検出結果は、明日は異なる方法で再評価される可能性があります。これは静的抑制ルールとは根本的に異なります。AWS Security Incident Response は進化する脅威を検出する機能を備えているので、抑制よりもトリアージが優先されます。

ログアクセス

Security Incident Response は、調査中にのみ、当該の調査目的でアクティブなコントロールプレーンのログ記録にアクセスします。ログデータはお客様に提供されません。ケースノートを通じて共有されるのは、概要と結論のみです。

抑制ルール

まれなケースですが、お客様とセキュリティインシデント対応エンジニアリングチームの両方が特定のタイプのアラートのモニタリングが不要になることに同意した場合、抑制ルールがデプロイされます。抑制されたアラートに対しては、以降の取り込みとモニタリングは行われません。抑制ルールは GuardDuty または Security Hub CSPM コンソールで確認できます。ルールが作成または変更されると、Security Incident Response からお客様のインシデント対応チームに通知が行われます。変更はリクエストに応じてロールバックされます。

抑制された検出結果はモニタリングから完全に除外され、トリアージされた検出結果は動的評価の対象のままであるため、抑制ルールは控え目に使用されます。Security Incident Response エンジニアは、ルールを実装する前に、この点について常にお客様と話し合います。

自動調査と人間による調査

アクティビティが予期されるものと自動トリアージで判断できない場合、AWS Security Incident Response エンジニアリングチームがセキュリティ調査を実行します。これは、AWS とセキュリティインシデント対応に関する専門知識を有し、グローバルで常に利用可能なセキュリティプロフェッショナルのチームです。

調査中、エンジニアは、追加のサービスメタデータと脅威インテリジェンスの分析、お客様の環境での過去の検出結果からのインサイトのレビューを行い、インシデント対応の専門知識を適用します。セキュリティ調査の一環として、Security Incident Response は EC2 Triage (有効になっている場合) を使用して Amazon Elastic Compute Cloud インスタンス内から調査データを収集することもできます。インスタンスに直接アクセスする必要はありません。

継続的な改善

AWS Security Incident Response は、以前のエンゲージメントから学んだフィードバックと教訓を組み込み、検出機能、調査プロセス、トリアージの精度を向上させます。チームはすべてのお客様からのインシデントを調査し、侵害指標 (IoC)、戦術、技術、手順 (TTP)、および調査中に観察された関連パターンなど、対応スタッフが生成するインテリジェンスが蓄積されます。このインテリジェンスはトリアージプロセスにフィードバックされ、時間の経過とともに進化する脅威を検出して対応する能力を向上させます。

サービスの有効性は、お客様との連携によって向上します。調査中に積極的に関与し、タイムリーに対応することで、チームが環境と予期される動作を理解し、誤検出を減らし、本当のインシデントに迅速に対応できるようになります。

プロアクティブケースとリアクティブケース

AWS Security Incident Response には次の 2 種類のルールがあります。

プロアクティブケース: トリアージプロセスがユーザーの関与を必要とする本当の脅威を特定したときに自動的に作成されます。これらのケースでは、タイトルに「[Proactive case]」プレフィックスが付けられます。必要な設定は検出ソースを有効にすることだけです。手動での設定は必要ありません。プロアクティブケースが作成されると、設定されたすべてのステークホルダーに自動的に通知されます。

リアクティブケース: サポートが必要な場合にお客様が作成するケース。2 つのサブタイプがあります。

年中無休 24 時間の可用性: エンジニアは、プロアクティブケースとリアクティブケースの両方に対応します。AWS がサポートするリアクティブケースには、15 分間の初期対応 SLO が適用されます。

どちらのケースタイプも、同じデータフィールドとケース管理ポータルを使用します。

封じ込み

事前に承認されている場合、セキュリティインシデント対応エンジニアは、アクティブインシデント時にお客様に代わって封じ込めアクションを実行します。サポートされている封じ込めアクションには、侵害された Amazon S3 バケット、Amazon EC2 インスタンス、IAM プリンシパルのランブックが含まれます。

封じ込めを事前に承認していない場合、エンジニアは調査中に手動ガイダンスを提供します。詳細については、「封じ込めアクション」を参照してください。

ウォッチャーとケース共有

ウォッチャーまたは IAM ポリシーを使用して、ケースの可視性を外部関係者に付与できます。その場合、パートナー、リスクおよびコンプライアンスチーム、法律顧問、または対象分野の専門家を調査に含めることができます。

ウォッチャーは、特定のケースに対するすべての更新の通知を受け取ります。各ケースには、そのケースを対象とする事前入力された IAM ポリシーが含まれて、サードパーティー参加者の最小特権アクセスが維持されます。

コミュニケーションとケース管理

すべてのケースはメンバーシップアカウントを通じて管理されるので、すべての組織アカウントのコミュニケーションが一元管理されます。調査中のコミュニケーションには、セキュリティイベントの確認、通話ブリッジの確立、アーティファクトの分析、予期されるアクティビティの確認のリクエスト、調査結果の共有が含まれる場合があります。アクティブなセキュリティイベント中、ビデオ通話を使用できます。

ケースをクローズできるのはお客様だけです。AWS Security Incident Response はケースを「Ready to Close」のステータスに設定できますが、最終的なクローズは常にお客様のアクションです。

モニタリング対象アカウント

メンバーシップに登録されているアカウントのみがモニタリングおよび調査されます。有効化する際に AWS 組織または OU レベルでカバレッジを選択します。設定した範囲外のアカウントはモニタリングされません。詳細については、「ステップ 1: AWS Security Incident Response を有効にする」を参照してください。

統合

AWS Security Incident Response は、Amazon EventBridge を介して既存のワークフローと統合します。すべてのケースライフサイクルイベントが EventBridge に発行されるため、使用するツールやプロセスに接続する自動化を構築できます。

文書化された統合パターンは、以下で使用できます。

EventBridge イベントを使用して、他のツールのカスタム統合を構築することもできます。詳細については、「EventBridge integration」を参照してください。

API とセルフサービス

AWS Security Incident Response には、独自のワークフローへのサービスの統合、プログラムでのケース情報の取得、サービスへのカスタムセキュリティソリューションの構築を行うことができる API が用意されています。詳細については、「 APIリファレンスAWS Security Incident Response」を参照してください。

月次レポート

AWS Security Incident Response は、アカウント全体のアクティビティをまとめた月次レポートを提供します。これらのレポートでは、取り込まれた検出結果、トリアージの結果、作成されたケースが可視化されます。詳細については、「毎月のレポート」を参照してください。

準備状況

オンボーディング中、ケースの作成時に通知を受け取る指定された個人またはグループでインシデント対応チームを構成します。アクセス許可ポリシーは、チームメンバーがケース内で持つアクセスを定義します。これを事前に設定することで、インシデント発生時の迅速な対応が可能になります。

サービス境界

AWS Security Incident Response は検出サービスではありません。検出結果を生成するものではなく、GuardDuty、Security Hub CSPM、またはサードパーティーの検出ツールを置き換えるものでもありません。しかし、これらのサービスが生成するものを取り込んでトリアージします。これはアラートアグリゲータではありません。すべてのアラートを渡すサービスとは異なり、検出結果の大部分を吸収し、アクションを必要とするもののみをエスカレーションします。セキュリティ体制の検出結果はトリアージされません。コンプライアンスと設定の検出結果は本質的に情報であり、脅威の調査は必要ありません。

以下のアクティビティも対象外です。

お客様の責任

支援を受ける

AWS Security Incident Response の範囲外のリクエストがある場合は、次のリソースを参照してください。

サポート対象のリージョン

AWS Security Incident Response では、以下の言語とリージョンの設定がサポートされています。