Security Hub の有効化 - AWS Security Hub
必要なアクセス許可を確認するSecurity Hub と Organizations との統合を有効にするSecurity Hub を手動で有効にする次のステップ: 姿勢の管理と統合

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Security Hub の有効化

AWS Security Hub を有効にするには、 AWS Organizations と統合するか、手動で 2 つの方法があります。

マルチアカウントおよびマルチリージョン環境では、Organizations との統合を強くお勧めします。スタンドアロンアカウントをお持ちの場合は、Security Hub を手動で設定する必要があります。

必要なアクセス許可を確認する

Amazon Web Services (AWS) にサインアップしたら、Security Hub を有効にして、その機能を使用する必要があります。Security Hub を有効にするには、まず Security Hub コンソールと APIオペレーションへのアクセスを許可するアクセス許可を設定する必要があります。これを行う AWS には、 AWS Identity and Access Management （IAM) を使用して、 という管理ポリシーを AWS IAM ID AWSSecurityHubFullAccess にアタッチします。

Organizations 統合を通じて Security Hub を有効化および管理するには、 という AWS 管理ポリシーもアタッチする必要がありますAWSSecurityHubOrganizationsAccess。

詳細については、「AWSAWS Security Hub の マネージドポリシー」を参照してください。

Security Hub と Organizations との統合を有効にする

で Security Hub の使用を開始するには AWS Organizations、組織の AWS Organizations 管理アカウントが、組織の委任 Security Hub 管理者アカウントとしてアカウントを指定します。Security Hub は、現在のリージョンの委任管理者アカウントで自動的に有効になります。

ご希望の方法を選択し、手順に従って委任管理者を指定します。

Security Hub console
オンボーディング時に委任 Security Hub 管理者を指定するには

  1. で AWS Security Hub コンソールを開きますhttps://console.aws.amazon.com/securityhub/。

  2. [Go to Security Hub] (Security Hub に移動) を選択します。組織の管理アカウントにサインインするよう求めるメッセージが表示されます。

  3. [委任された管理者アカウント] セクションの [委任された管理者を指定] ページで、委任された管理者アカウントを指定します。委任された管理者には、他の AWS セキュリティおよびコンプライアンスサービスと同一の設定を選択することをお勧めします。

  4. [委任された管理者を設定] を選択します。

Security Hub API

Organizations 管理アカウントEnableOrganizationAdminAccountAPIから を呼び出します。Security Hub の委任された管理者アカウントの AWS アカウント ID を指定します。

AWS CLI

Organizations 管理アカウントから enable-organization-admin-account コマンドを実行します。Security Hub の委任された管理者アカウントの AWS アカウント ID を指定します。

コマンドの例:

aws securityhub enable-organization-admin-account --admin-account-id 777788889999

Organizations との統合の詳細については、「Security Hub と の統合 AWS Organizations」を参照してください。

中央設定

Security Hub と Organizations を統合すると、中央設定と呼ばれる機能を使用して組織の Security Hub をセットアップおよび管理できます。管理者が組織のセキュリティ範囲をカスタマイズできるため、中央設定を使用することを強くお勧めします。必要に応じて、委任管理者はメンバーアカウントによる独自のセキュリティカバレッジの設定を許可できます。

中央設定を使用すると、委任管理者はアカウント、、OUsおよび 間で Security Hub を設定できます AWS リージョン。委任管理者は、設定ポリシーを作成して Security Hub を設定します。設定ポリシー内では、以下の設定を指定できます。

  • Security Hub が有効か無効か

  • どのセキュリティ基準を有効または無効にするか

  • どのセキュリティコントロールを有効または無効にするか

  • コントロール選択用のパラメータをカスタマイズするかどうか

委任管理者は、組織全体に対して単一の設定ポリシーを作成するか、さまざまなアカウントと に対して異なる設定ポリシーを作成できますOUs。例えば、テストアカウントと本稼働アカウントでは異なる設定ポリシーを使用できます。

設定ポリシーOUsを使用するメンバーアカウントと は一元管理され、委任された管理者のみが設定できます。委任管理者は、特定のメンバーアカウントと をセルフマネージド型OUsとして指定して、メンバーが独自の設定をベースとして Region-by-Region構成できるようにします。

中央設定を使用しない場合は、各アカウントとリージョンで大幅に Security Hub を設定する必要があります。これはローカル設定と呼ばれます。ローカル設定では、委任管理者は、現在のリージョンの新しい組織アカウントで Security Hub と限定された一連のセキュリティ標準を自動的に有効にできます。ローカル設定は、既存の組織アカウントや、現在のリージョン以外のリージョンには適用されません。また、ローカル設定では設定ポリシーの使用もサポートされていません。

Security Hub を手動で有効にする

スタンドアロンアカウントをお持ちの場合、または と統合していない場合は、Security Hub を手動で有効にする必要があります AWS Organizations。スタンドアロンアカウントは と統合できず AWS Organizations 、手動有効化を使用する必要があります。

Security Hub を手動で有効にする場合は、Security Hub 管理者アカウントを指定し、他のアカウントを招待してメンバーアカウントにします。管理者とメンバーの関係は、メンバーアカウント候補が招待を受け入れたときに確立されます。

ご希望の方法を選択し、手順に従って Security Hub を有効にします。コンソールから Security Hub を有効にする場合は、サポートされているセキュリティ標準を有効にするオプションも提供されています。

Security Hub console

  1. で AWS Security Hub コンソールを開きますhttps://console.aws.amazon.com/securityhub/。

  2. Security Hub コンソールを初めて開く場合は、[Security Hub に移動] を選択します。

  3. ウェルカムページには、Security Hub がサポートするセキュリティ基準が [セキュリティ基準] セクションに一覧表示されます。

    基準のチェックボックスを選択して有効にします。チェックボックスをオフにすると無効になります。

    標準またはその個々のコントロールは、いつでも有効または無効にできます。セキュリティ標準の管理の詳細については、「Security Hub のセキュリティ標準について」を参照してください。

  4. [Enable Security Hub] (Security Hub の有効化) を選択します。

Security Hub API

を呼び出しますEnableSecurityHubAPI。から Security Hub を有効にするとAPI、次のデフォルトのセキュリティ標準が自動的に有効になります。

  • AWS 基本的なセキュリティのベストプラクティス

  • Center for Internet Security (CIS） AWS Foundations Benchmark v1.2.0

これらの標準を有効にしない場合は、EnableDefaultStandards を false に設定します。

また Tags パラメータを使用して、ハブリソースにタグ値を割り当てることもできます。

AWS CLI

enable-security-hub コマンドを実行します。デフォルトの標準を有効にするには、--enable-default-standards を含めます。デフォルトの標準を有効にしない場合は、--no-enable-default-standards を含めます。デフォルトのセキュリティ基準は次のとおりです。

  • AWS 基本的なセキュリティのベストプラクティス

  • Center for Internet Security (CIS） AWS Foundations Benchmark v1.2.0

aws securityhub enable-security-hub [--tags <tag values>] [--enable-default-standards | --no-enable-default-standards]

例

aws securityhub enable-security-hub --enable-default-standards --tags '{"Department": "Security"}'

マルチアカウント有効化スクリプト

注記

このスクリプトの代わりに、中央設定を使用して複数のアカウントとリージョンで Security Hub を有効にして設定することをお勧めします。

の Security Hub マルチアカウント有効化スクリプト GitHubを使用すると、アカウントとリージョン間で Security Hub を有効にできます。スクリプトを使用することで、メンバーアカウントへの招待の送信と AWS Configの有効化のプロセスも自動化されます。

このスクリプトは、すべてのリージョンで、グローバル AWS Config リソースを含むすべてのリソースのリソース記録を自動的に有効にします。グローバルリソースの記録を 1 つのリージョンに制限するものではありません。コストを節約するために、グローバルリソースは 1 つのリージョンにのみ記録することをお勧めします。中央設定またはクロスリージョン集約を使用する場合、これはホームリージョンである必要があります。詳細については、「でのリソースの記録 AWS Config」を参照してください。

複数のアカウントとリージョンで Security Hub を無効にするための、対応するスクリプトがあります。

次のステップ: 姿勢の管理と統合

Security Hub を有効にしたら、セキュリティ標準とコントロールを有効にしてセキュリティ体制をモニタリングすることをお勧めします。コントロールを有効にすると、Security Hub はセキュリティチェックの実行と、 AWS 環境内の設定ミスの検出に役立つコントロールの検出結果の生成を開始します。コントロールの検出結果を受け取るには、Security Hub AWS Config の を有効にして設定する必要があります。詳細については、「Security Hub AWS Config の有効化と設定」を参照してください。

Security Hub を有効にした後、Security Hub と他の AWS のサービス およびサードパーティーソリューションとの統合を活用して、Security Hub で検出結果を確認することもできます。Security Hub は、さまざまなソースから結果を集約し、一貫した形式で取り込みます。詳細については、「Security Hub 統合について」を参照してください。