インシデント対応の設計 GuardDuty と Security Hub で脅威に備える

本記事はSCSを目指す方向けに、脅威検知からインシデント対応までのセキュリティ運用を解説します。試験では「この検知・対応要件を満たすサービスの組み合わせ」が問われます。

覚え方のフレームは3段階です。検知(脅威に気づく)・集約(状況を俯瞰する)・対応(自動で封じ込める)。

Amazon GuardDuty 脅威検知

GuardDutyはログを機械学習で分析し、不正アクセスやマルウェア通信などの脅威を検知します。専用の運用チームがなくても継続的に脅威を自動検知したい要件で選びます。検出結果は重要度付きで通知されます。

AWS Security Hub 一元集約

Security Hubは複数のセキュリティサービスの検出結果を集約し、業界標準に照らしてスコア化します。組織全体のセキュリティ状態を一画面で俯瞰したい要件で選びます。

調査と自動対応

Amazon Detectiveで根本原因を深掘りし、EventBridgeとLambdaで自動修復(リソース隔離や鍵の無効化)を実装します。検知後の初動を自動化して被害を最小化したい要件で有効です。

チェックリスト

• 検知・集約・対応の流れを説明できる
• GuardDutyとInspectorの役割を区別できる
• Security Hubで標準準拠を評価できる
• EventBridgeとLambdaで自動修復を設計できる

まとめ

インシデント対応は「検知・集約・対応」で捉え、GuardDutyで検知しSecurity Hubで俯瞰、EventBridgeで自動封じ込めまで設計します。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。