CloudWatch の Security Hub コントロール

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{$.userIdentity.type="Root" && $.userIdentity.invokedBy NOT EXISTS && $.eventType !="AwsServiceEvent"}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.errorCode="*UnauthorizedOperation") || ($.errorCode="AccessDenied*")}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{ ($.eventName = "ConsoleLogin") && ($.additionalEventData.MFAUsed != "Yes") && ($.userIdentity.type = "IAMUser") && ($.responseElements.ConsoleLogin = "Success") }
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventSource=iam.amazonaws.com) && (($.eventName=DeleteGroupPolicy) || ($.eventName=DeleteRolePolicy) || ($.eventName=DeleteUserPolicy) || ($.eventName=PutGroupPolicy) || ($.eventName=PutRolePolicy) || ($.eventName=PutUserPolicy) || ($.eventName=CreatePolicy) || ($.eventName=DeletePolicy) || ($.eventName=CreatePolicyVersion) || ($.eventName=DeletePolicyVersion) || ($.eventName=AttachRolePolicy) || ($.eventName=DetachRolePolicy) || ($.eventName=AttachUserPolicy) || ($.eventName=DetachUserPolicy) || ($.eventName=AttachGroupPolicy) || ($.eventName=DetachGroupPolicy))}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=CreateTrail) || ($.eventName=UpdateTrail) || ($.eventName=DeleteTrail) || ($.eventName=StartLogging) || ($.eventName=StopLogging)}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=ConsoleLogin) && ($.errorMessage="Failed authentication")}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventSource=kms.amazonaws.com) && (($.eventName=DisableKey) || ($.eventName=ScheduleKeyDeletion))}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventSource=s3.amazonaws.com) && (($.eventName=PutBucketAcl) || ($.eventName=PutBucketPolicy) || ($.eventName=PutBucketCors) || ($.eventName=PutBucketLifecycle) || ($.eventName=PutBucketReplication) || ($.eventName=DeleteBucketPolicy) || ($.eventName=DeleteBucketCors) || ($.eventName=DeleteBucketLifecycle) || ($.eventName=DeleteBucketReplication))}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventSource=config.amazonaws.com) && (($.eventName=StopConfigurationRecorder) || ($.eventName=DeleteDeliveryChannel) || ($.eventName=PutDeliveryChannel) || ($.eventName=PutConfigurationRecorder))}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=AuthorizeSecurityGroupIngress) || ($.eventName=AuthorizeSecurityGroupEgress) || ($.eventName=RevokeSecurityGroupIngress) || ($.eventName=RevokeSecurityGroupEgress) || ($.eventName=CreateSecurityGroup) || ($.eventName=DeleteSecurityGroup)}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=CreateNetworkAcl) || ($.eventName=CreateNetworkAclEntry) || ($.eventName=DeleteNetworkAcl) || ($.eventName=DeleteNetworkAclEntry) || ($.eventName=ReplaceNetworkAclEntry) || ($.eventName=ReplaceNetworkAclAssociation)}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=CreateCustomerGateway) || ($.eventName=DeleteCustomerGateway) || ($.eventName=AttachInternetGateway) || ($.eventName=CreateInternetGateway) || ($.eventName=DeleteInternetGateway) || ($.eventName=DetachInternetGateway)}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventSource=ec2.amazonaws.com) && (($.eventName=CreateRoute) || ($.eventName=CreateRouteTable) || ($.eventName=ReplaceRoute) || ($.eventName=ReplaceRouteTableAssociation) || ($.eventName=DeleteRouteTable) || ($.eventName=DeleteRoute) || ($.eventName=DisassociateRouteTable))}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

1. Amazon SNS トピックを作成します。詳細については、「Amazon Simple Notification Service デベロッパーガイド」の「Amazon SNS の開始方法」を参照してください。すべての CIS アラームを受信するトピックを作成し、そのトピックへのサブスクリプションを少なくとも 1 つ作成します。

2. すべての AWS リージョン に適用される CloudTrail 追跡を作成します。手順については、「AWS CloudTrail ユーザーガイド」の「証跡の作成」を参照してください。

   CloudTrail 追跡に関連付ける CloudWatch Logs ロググループの名前を書き留めます。次の手順で、そのロググループに対してメトリクスフィルターを作成します。

3. メトリクスのフィルターを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターの作成」を参照してください。以下の値を使用します。

   フィールド	値
   定義パターン、フィルターパターン	{($.eventName=CreateVpc) || ($.eventName=DeleteVpc) || ($.eventName=ModifyVpcAttribute) || ($.eventName=AcceptVpcPeeringConnection) || ($.eventName=CreateVpcPeeringConnection) || ($.eventName=DeleteVpcPeeringConnection) || ($.eventName=RejectVpcPeeringConnection) || ($.eventName=AttachClassicLinkVpc) || ($.eventName=DetachClassicLinkVpc) || ($.eventName=DisableVpcClassicLink) || ($.eventName=EnableVpcClassicLink)}
   メトリクス名前空間	LogMetrics
   メトリクス値	1
   デフォルト値	0

4. フィルターに基づいてアラームを作成します。手順については、「Amazon CloudWatch Logs ユーザーガイド」の「ロググループのメトリクスフィルターに基づく CloudWatch アラームの作成」を参照してください。以下の値を使用します。

   フィールド	値
   条件、しきい値タイプ	静的
   your-metric-name が以下の条件の場合...	以上
   条件は...	1

CloudWatch アラームアクションを有効にアクティブにするには (コンソール)

1. CloudWatch コンソール (https://console.aws.amazon.com/cloudwatch/) を開きます。

2. ナビゲーションペインの [アラーム] で、[すべてのアラーム] を選択します。

3. アクションをアクティブにするアラームを選択します。

4. [アクション] で、[アラームアクション — 新規] を選択し、[有効化] を選択します。