【SCS-C02 模擬】200アカウントのログを集約してOCSF形式に正規化し、SIEMとAthenaで分析するには？
ある企業はAWS Organizationsで200アカウントを運用しています。セキュリティ部門は、CloudTrailの管理イベント、VPCフローログ、Route 53 Resolverのクエリログ、Security Hubの検出結果を専用のログアーカイブアカウントに集約し、共通のスキーマに正規化したうえで、サードパーティSIEMとインシデント対応チームのAthenaクエリから分析したいと考えています。さらに、ログを管理するチームと分析するチームの権限を分離し、新しく作成されるアカウントも自動でログ収集の対象にし、複数リージョンのデータを1つのリージョンに集約する必要があります。
これらの要件を満たす最も適切な方法はどれですか。
これらの要件を満たす最も適切な方法はどれですか。
正解: A
正解はAです。Amazon Security Lakeは、AWSのログとセキュリティデータをOCSF（Open Cybersecurity Schema Framework）形式に正規化してS3のデータレイクに集約するサービスです。委任管理者アカウントによる組織全体での有効化、新規アカウントの自動オンボード、ロールアップリージョンでの複数リージョン集約、サブスクライバー（データアクセスやクエリアクセス）の管理を備え、SIEMとAthenaの両方から分析できます。Bは手作業のスキーマ調整が必要で、正規化・自動オンボード・権限分離を満たしません。CのCloudTrail LakeはCloudTrailイベントの保存と分析が中心で、VPCフローログなど要件のログソースを同じように正規化して扱う用途ではありません。DのGuardDutyは脅威検出サービスであり、ログ集約基盤ではなく、他のログソースの取り込みもできません。