Security Hub の検出結果を自動的に変更してアクションを実行する

AWS Security Hub には、仕様に基づいて検出結果を自動的に変更してアクションを実行する機能があります。

Security Hub は現在、次の 2 種類の自動化をサポートしています。

自動化ルールは、AWS Security Finding 形式 (ASFF) で検出結果フィールドを自動的に更新する場合に役立ちます。例えば、自動化ルールを使用して、特定のサードパーティー統合の結果の重要度レベルまたはワークフローステータスを更新できます。自動化ルールを使用すると、このサードパーティー製品の各検出結果の重要度レベルまたはワークフローステータスを手動で更新する必要がなくなります。

EventBridge ルールは、特定の検出結果に関して Security Hub の外部でアクションを実行したり、修正や追加調査のために特定の検出結果をサードパーティーのツールに送信したりする場合に役立ちます。ルールを使用して、AWS Lambda 関数の呼び出しや、特定の検出結果に関する Amazon Simple Notification Service (Amazon SNS) トピックの通知など、サポートされているアクションをトリガーできます。

自動化ルールは、EventBridge ルールが適用される前に有効になります。つまり、EventBridge が検出結果を受信する前に自動化ルールがトリガーされ、検出結果が更新されます。その後、EventBridge のルールが更新された検出結果に適用されます。

セキュリティコントロールの自動化を設定するときは、タイトルや説明ではなく、コントロール ID に基づいてフィルタリングすることをお勧めします。Security Hub でコントロールのタイトルや説明を更新することがありますが、コントロール ID は変わりません。