【SCS】ログ監視とインシデント対応の実践｜検知から自動対応まで

SCSでは「検知・記録・対応」の一連の流れを、適切なサービスで組み立てる力が問われます。本記事ではログ監視（可観測性）から脅威検知、自動対応までを実践的に整理します。1本目の合格ガイドと合わせてご覧ください。

覚え方のフレームは「①記録する」「②検知する」「③自動対応する」の3段階です。セキュリティ運用はこの順番で組み立てます。

①ログ収集（記録）

• AWS CloudTrail：アカウントのAPIコールを記録（誰が・いつ・何を）。使いどころは監査証跡が必要な場面全般。
• VPCフローログ：使いどころはネットワークの通信メタデータを記録し、不審な通信の有無を後から調べたい場合。
• CloudWatch Logs：使いどころはアプリ・OSなどのログを集約したい場合。
• AWS Config：使いどころはリソース構成の変更履歴とコンプライアンス評価をしたい場合。

②脅威検知（検知）

• Amazon GuardDuty：使いどころはログを機械学習で分析し、不審なAPIコールや通信を検知したい場合。
• AWS Security Hub：使いどころは各種検知結果を集約しベストプラクティスで評価したい場合。
• Amazon Detective：使いどころは検知後の根本原因を調査・可視化したい場合。
• Amazon Macie：使いどころはS3内の機密データ（個人情報等）を発見したい場合。

③自動対応（対応）

何をするか：GuardDutyやSecurity Hubの検知を Amazon EventBridge で受け、AWS Lambda や Systems Manager Automation で隔離・無効化・通知などの初動を自動化する。使いどころは「不審なIAMキーが検知されたら即座に無効化したい」など、対応を人手に頼らず短縮したい場合。

チェックリスト

• 記録（CloudTrail/VPCフローログ/CloudWatch Logs/Config）の役割を区別できるか
• 検知系サービス（GuardDuty/Macie/Detective）の目的の違いを説明できるか
• Security Hubで複数の検知結果を集約する構成をイメージできるか
• EventBridge起点でLambda/SSM Automationによる自動対応を設計できるか
• 「記録→検知→対応」の3段階の流れを一連で説明できるか

まとめ

セキュリティは"記録・検知・対応"の役割分担が要です。クイズで整理を確認しましょう。バージョン（SCS-C02／C03）や配点は変わることがあるため、申込前にAWS認定 公式ページで最新情報をご確認ください。