翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

コントロールの結果を生成および更新する

AWS Security Hub は、セキュリティコントロールに対するチェックを実行して検出結果を生成します。これらの検出結果は AWS Security Finding 形式 () を使用しますASFF。結果のサイズが最大 240 KB を超えると、Resource.Details オブジェクトが削除されます。リソースによって AWS Config バックアップされるコントロールについては、 AWS Config コンソールでリソースの詳細を表示できます。

Security Hub は通常、コントロールのセキュリティチェックごとに課金されます。ただし、複数のコントロールが同じ AWS Config ルールを使用する場合、Security Hub は AWS Config ルールに対するチェックごとに 1 回のみ課金します。[統合されたコントロールの検出結果] を有効にすると、コントロールが複数の有効化された標準に含まれている場合でも、Security Hub はセキュリティチェックに対して単一の検出結果を生成します。

例えば、 AWS Config ルールiam-password-policyは Center for Internet Security (CIS） AWS Foundations Benchmark 標準と Foundational Security Best Practices 標準の複数のコントロールで使用されます。Security Hub がその AWS Config ルールに対してチェックを実行するたびに、関連するコントロールごとに個別の検出結果が生成されますが、チェックに対して課金されるのは 1 回だけです。

統合されたコントロールの検出結果

アカウントで統合コントロールの検出結果が有効になっている場合、Security Hub は、コントロールが有効な複数の標準に適用されていても、コントロールのセキュリティチェックごとに 1 つの新しい検出結果または検出結果の更新を生成します。コントロールとそれらが適用される標準の一覧については、「Security Hub コントロールのリファレンス」を参照してください。検出結果のノイズを減らすために、統合コントロールの検出結果を有効にすることをお勧めします。

2023 年 2 月 23 日より AWS アカウント 前に の Security Hub を有効にした場合は、このセクションの後半の手順に従って、統合コントロールの検出結果を有効にできます。2023 年 2 月 23 日以降に Security Hub を有効にすると、[統合されたコントロールの検出結果] がアカウントで自動的に有効になります。ただし、Security Hub の AWS Organizationsとの統合を使用するか、手動の招待プロセスで招待されたメンバーアカウントを使用する場合、メンバーアカウントで [統合されたコントロールの検出結果] が有効になるのは、管理者アカウントで有効になっている場合のみです。管理者アカウントでこの機能が無効になっている場合、メンバーアカウントも無効になります。この挙動は、新規および既存のメンバーアカウントに適用されます。

アカウントで [統合されたコントロールの検出結果] を無効にすると、Security Hub は、コントロールを含む有効な各標準のセキュリティチェックごとに個別の検出結果を生成します。例えば、4 つの有効な標準が同じ基盤となる AWS Config ルールでコントロールを共有している場合、コントロールのセキュリティチェック後に 4 つの個別の検出結果を受け取ります。[統合されたコントロールの検出結果] を有効にすると、検出結果が 1 つのみになります。

[統合されたコントロールの検出結果] を有効にすると、Security Hub は標準と別に新しい検出結果を生成し、元の標準ベースの検出結果をアーカイブします。一部のコントロールの検出結果フィールドや値が変更され、既存のワークフローに影響を与える可能性があります。これらの変更の詳細については、「統合されたコントロールの検出結果 – ASFF変更」を参照してください。

統合統制結果を有効にすると、統合サードパーティー製品が Security Hub から受け取る結果にも影響する可能性があります。v2.0.0 AWS の自動セキュリティレスポンスは、統合統制結果をサポートします。

[統合されたコントロールの検出結果] を有効または無効にするには、管理者アカウントまたはスタンドアロンアカウントにサインインする必要があります。

Security Hub console

統合コントロールの検出結果を有効または無効にするには (コンソール)

1. で AWS Security Hub コンソールを開きますhttps://console.aws.amazon.com/securityhub/。

2. ナビゲーションペインで [設定] を選択します。

3. [General] (全般) タブを選択します。

4. [コントロール] については、[統合されたコントロールの検出結果] をオンまたはオフにします。

5. [Save] を選択します。

Security Hub API, AWS CLI

統合コントロールの検出結果を有効または無効にするには (API、 AWS CLI）

1. UpdateSecurityHubConfiguration 操作を使用します。を使用している場合は AWS CLI、 update-security-hub-configuration コマンドを実行します。

2. control-finding-generator を SECURITY_CONTROL に等しく設定して、統合コントロールの検出結果を有効にします。control-finding-generator を STANDARD_CONTROL に等しく設定して、統合コントロールの検出結果を無効にします

   例えば、次の AWS CLI コマンドは統合コントロールの検出結果を有効にします。この例は Linux、macOS、または Unix 用にフォーマットされており、読みやすさを向上させるためにバックスラッシュ (\) の行継続文字を使用しています。

   $ aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator SECURITY_CONTROL

   次の AWS CLI コマンドは、統合コントロールの検出結果を無効にします。この例は Linux、macOS、または Unix 用にフォーマットされており、読みやすさを向上させるためにバックスラッシュ (\) の行継続文字を使用しています。

   $ aws securityhub  --region us-east-1 update-security-hub-configuration --control-finding-generator STANDARD_CONTROL

新しい検出結果の生成と既存の検出結果の更新

Security Hub は、スケジュールに従ってセキュリティチェックを実行します。特定のコントロールに対する後続のチェックでは、新しい結果を生成できます。たとえば、コントロールのステータスが から FAILEDに変わる場合がありますPASSED。この場合、Security Hub は最新の結果を含む新しい結果を生成します。

特定のルールに対する後続のチェックで、現在の結果と同じ結果が生成された場合、Security Hub は既存の結果を更新します。新しい結果は生成されません。

Security Hub では、関連付けられたリソースが削除されたか、リソースが存在しないか、コントロールが無効になっている場合、コントロールから結果を自動的にアーカイブします。関連付けられたサービスが現在使用されていないため、リソースが存在しない可能性があります。結果は、次のいずれかの基準に基づいて自動的にアーカイブされます:

検出結果の自動化と抑制を制御する

Security Hub 自動化ルールを使用して、特定のコントロールの検出結果を更新または抑制できます。検出結果を抑制しても、アカウント内で引き続きアクセスできますが、検出結果に対処するためにアクションが必要ではないというユーザーの考えが示されます。無関係な検出結果を抑制することで、検出結果のノイズを減らすことができます。例えば、テストアカウントで生成されたコントロールの検出結果を抑制できます。または、特定のリソースに関連する検出結果を抑制することもできます。結果の自動更新または抑制の詳細については、「」を参照してくださいSecurity Hub の自動化ルールについて。

自動化ルールは、特定のコントロールの検出結果を更新または抑制する場合に適しています。ただし、コントロールが組織やユースケースに関係ない場合は、コントロールを無効にすることをお勧めします。コントロールを無効にすると、Security Hub はそのコントロールに対してセキュリティチェックを実行せず、課金もされません。

コントロールの検出結果のコンプライアンスの詳細

コントロールのセキュリティチェックによって生成された検出結果の場合、 AWS Security Finding 形式 (ASFF) の Complianceフィールドには、コントロールの検出結果に関連する詳細が含まれます。Compliance フィールドに含まれている情報は次のとおりです。

次の表に、使用可能な状況の理由コードと説明を示します。修正手順は、どのコントロールがその理由コードを使って検出結果を生成したかによって異なります。Security Hub コントロールのリファレンス からコントロールを選択すると、そのコントロールの修正手順が表示されます。

ProductFields コントロールの検出結果の詳細

Security Hub がセキュリティチェックを実行してコントロールの検出結果を生成する場合、 の ProductFields 属性には次のフィールドASFFが含まれます。

コントロールの検出結果の重要度レベル

Security Hub コントロールに割り当てられる重要度は、コントロールの重要性を特定します。コントロールの重要度により、コントロールの結果に割り当てられる重要度ラベルが決まります。

重要度の基準

コントロールの重要度は、以下の基準の評価に基づいて決定されます:

例えば、次の設定の弱点について検討します。

どちらの弱点も、攻撃者が悪用する際の難易度は同程度です。両方の弱点とも、攻撃者は認証情報の盗難やその他の方法を使用してユーザーキーを取得します。その後、このユーザーキーを使用して、許可されない方法でリソースにアクセスします。

ただし、脅威アクターによって取得されたアクセスキーがルートユーザーのものである場合、よりアクセス性が高いため、侵害の可能性はより高くなります。この結果、ルートユーザーキーの弱点は、重要度が高くなります。

重要度では、基になるリソースの重大度は考慮されていません。重大度は、結果に関連付けられているリソースの重要性の程度として定義されます。例えば、ミッションクリティカルなアプリケーションに関連付けられているリソースは、非本番稼働用テストに関連付けられたリソースより重大度が高くなります。リソース重要度情報をキャプチャするには、 AWS Security Finding 形式 () の Criticalityフィールドを使用しますASFF。

次の表に、悪用行為の難易度と、セキュリティラベルが侵害される可能性を示します。

重要度の定義

重要度ラベルは次のように定義されています。