マルチアカウントの脅威検出集約設計｜GuardDuty委任管理者とSecurity Hubのリージョン集約

数十〜数百アカウントを持つ組織では、各アカウントで個別にGuardDutyやSecurity Hubを確認するのは現実的ではありません。「一元的な有効化」「検出結果の集約」「継続的な自動適用」の3つの観点で仕組みを理解しましょう。

委任管理者（Delegated Administrator）の指定

AWS Organizationsの管理アカウントから特定のセキュリティ運用アカウントをGuardDutyやSecurity Hubの委任管理者に指定すると、そのアカウントから全メンバーアカウントの検出結果を横断的に閲覧・管理できます。新規に作成されたアカウントにも自動的にGuardDutyを有効化する設定が可能です。

リージョンをまたぐ集約

単一リージョンでの委任管理では他リージョンの検出結果は見えません。Security Hubのクロスリージョン集約機能を使うと、複数リージョンの検出結果を1つの集約リージョンに集めて一覧できます。グローバル展開でリージョンごとにワークロードがあっても、セキュリティ運用は1チームで一元的に対応したい場合に有効です。

継続的な自動対応との連携

集約されたSecurity Hubの検出結果をEventBridge経由でLambda処理や通知に連携し、初動対応を自動化します。

チェックリスト

• 委任管理者の指定手順と効果を説明できる
• クロスリージョン集約の必要性を理解している
• 新規アカウントへの自動有効化の設定を理解している
• EventBridge連携による自動対応の設計ができる

組織規模が大きくなるほど「集約」の設計が重要になります。クイズで確認し、詳細はAWS認定 公式ページも参照してください。