脅威検出と自動対応 Security HubとEventBridge、Lambdaで初動対応を自動化する

本記事はSCS(Security Specialty)を目指す方向けに、複数のセキュリティサービスの検出結果を集約し、検知から対応までを自動化する設計を解説します。試験では、検出・集約・対応の各段階でどのサービスを組み合わせるかが問われます。

覚え方のフレームは3つの観点です。検出(異常を見つける)・集約(1か所にまとめる)・対応(自動で処置する)。

検出 GuardDutyとMacieによる個別の検知

GuardDutyは不審な通信やAPI呼び出しなどの脅威を、Macieは機密データの露出をそれぞれ専門領域で検知します。複数のサービスが個別に検出結果を出す環境では、まずどのサービスが何を検知するかを整理することが設計の出発点です。

集約 Security Hubでの一元化

Security HubはGuardDuty、Macie、Inspectorなど複数のサービスの検出結果を統一フォーマット(ASFF)で集約し、セキュリティスコアとして可視化します。複数アカウントにまたがる検出結果を1つのダッシュボードで確認したい要件ではSecurity Hubを中心に据え、Organizations連携で委任管理者アカウントに集約します。

対応 EventBridgeとLambdaによる自動修復

Security Hubの検出結果はEventBridgeのイベントとして発行でき、ルールに一致した場合にLambda関数を起動して自動修復(例: 公開されたセキュリティグループの是正)を行えます。深夜の検知でも人手を介さず初動対応を完了させたい要件ではこの自動修復パイプラインを構築します。

チェックリスト

• GuardDutyとMacieの検知対象の違いを説明できる
• Security Hubが検出結果を集約する仕組み(ASFF)を説明できる
• EventBridge経由でLambdaによる自動修復を構築する流れを説明できる
• Security Hub自体は検知機能を持たない点を理解している

まとめ

脅威対応は「検出・集約・対応」の3観点で設計し、個別サービスでの検出をSecurity Hubに集約し、EventBridgeとLambdaで自動修復までつなげるのが定石です。この記事の理解度はクイズで確認し、最新の試験範囲はAWS認定 公式ページで確認しましょう。