証拠ファインダーのフィルターとグループ化のオプション

このページには、証拠ファインダーで使用できるフィルターとグループ化オプションのリストが表示されます。

フィルターリファレンス

次のフィルターを使用して、評価、コントロール、 などの特定の基準に一致する証拠を検索できます AWS のサービス。

トピック

• 必須フィルター

• 追加フィルター (オプション)

• フィルターの組み合わせ

必須フィルター

これらのフィルターを使用して、評価における高レベルでの証拠の概要を開始します。

フィルター名	説明	メモ
[評価]	特定の評価の証拠を返します。	1 つの評価のみでフィルタリングできます。
日付範囲	特定の期間の証拠を返します。	また、相対範囲を使用して今日の日付を基準とした相対範囲を定義することもできます (例: Last 30 days)。 または、絶対範囲を使用して特定の日付範囲を指定することもできます (例: June 27th – July 4th)。
リソースコンプライアンス	特定のコンプライアンスチェック評価を含むリソースを返します。	Audit Manager は、 AWS Config と Security Hub をデータソースタイプとして使用するコントロールのコンプライアンスチェックの証拠を収集します。証拠収集中に複数のリソースが評価される場合があります。その結果、1 つのコンプライアンスチェックエビデンスに 1 つ以上のリソースが含まれる可能性があります。このフィルターを使用して、リソースレベルでコンプライアンスステータスを調べることができます。 次のオプションのいずれかを選択します (複数可)。 非準拠 — このフィルターは、コンプライアンスチェックの問題があるリソースを検索します。これは、Security Hub が失敗結果を報告した場合、または が非準拠結果を AWS Config 報告した場合に発生します。 準拠 — このフィルターは、コンプライアンスチェックの問題がないリソースを検索します。これは、Security Hub が合格結果を報告した場合、または が準拠結果を AWS Config 報告した場合に発生します。 未判断 — このフィルターは、コンプライアンスチェックが利用できない、または適用できないリソースを検索します。これは、リソースが基になるデータソースタイプとして AWS Config または Security Hub を使用しているが、それらのサービスが有効になっていない場合に発生します。これは、リソースがコンプライアンスチェックをサポートしていない基盤となるデータソースタイプ (手動証拠、呼び出し、 AWS API など) を使用している場合にも発生します CloudTrail。

追加フィルター (オプション)

これらのフィルターを使用して、検索クエリの範囲を絞り込みます。例えば、Amazon S3 に関連するすべての証拠を表示するには、サービスを使用します。リソースタイプを使うと S3 バケットだけに集中できます。または、リソースARNを使用して特定の S3 バケットをターゲットにします。

次の 1 つ以上の基準を使用して追加のフィルターを作成できます。

基準名	説明	この基準はいつ使用するか
アカウント ID	でドリルダウンします AWS アカウント。	この基準を使用して、特定の AWS アカウントに関連する証拠を検索してください。
コントロール	コントロール名別にドリルダウンします。	この基準を使用して、特定のコントロールに関連する証拠を検索してください。
コントロールドメイン	コントロールドメイン別にドリルダウンします。	この基準を使用して、監査に向けて準備する際に、特定の対象領域に集中します。標準フレームワークから作成された評価を問い合わせる場合は、コントロールドメインでフィルタリングできます。 コントロールドメインの例としては、ネットワークセキュリティ、ID とアクセスの管理、データ保護などがあります。 一部のコントロールドメインは、Audit Manager が Control Catalog によって提供される新しいコントロールドメインセットに移行した後、期限切れとしてマークされる場合があります。 AWS 詳細については、「コントロールドメインが「古くなった」とマークされていることがわかります。これは何を意味するのでしょうか? 」を参照してください。
[Data source type]	データソースのタイプ別にドリルダウンします。	この基準を使用して、特定のデータソースに集中します。 値をManualに設定すると、手動でアップロードした証拠を検索できます。それ以外の場合は、自動証拠をその出所 (AWS Config、CloudTrail、Security Hub、AWS API callsなど) に基づいてフィルタリングできます。
イベント名	イベント名でドリルダウンします。	この基準を使用して、証拠に関連する特定のイベントに焦点を当てます。イベントは、 AWS アカウントでのアクティビティのレコードです。 例えば、アクセス許可の設定に使用される IAMAttachRolePolicyオペレーションなど、 API呼び出しの名前を検索できます。または、ユーザーがアカウントにサインイン CloudTrail したときに によってログに記録されるConsoleLoginイベントなどの CloudTrail キーワードを検索します。
リソース ARN	Amazon リソースネーム () でドリルダウンしますARN。	この基準を使用して、特定の AWS リソースに関連する証拠を検索してください。
リソースタイプ	リソースタイプ別にドリルダウンします。	この基準を使用して、Amazon EC2インスタンスや S3 バケットなど、評価対象のリソースのタイプに焦点を当てます。
サービス	AWS のサービス 名前でドリルダウンします。	この基準を使用して、Amazon AWS のサービス、Amazon S3EC2、 など、特定の に関連する証拠を検索します AWS Config。 Amazon S3
サービスのカテゴリ	AWS のサービス カテゴリ別にドリルダウンします。	この基準を使用して、 の特定のカテゴリに焦点を当てます AWS のサービス。 例としては、セキュリティ、ID とコンプライアンス、データベース、ストレージなどがあります。

フィルターの組み合わせ

基準の動作

複数の基準を指定すると、Audit Manager は選択した基準にAND演算子を適用します。つまり、すべての基準が 1 つのクエリにグループ化され、結果は組み合わされたすべての条件と一致する必要があります。

例

次のフィルター設定では、証拠ファインダーは、MySOC2Assessmentという評価に対して過去 7 日間の非準拠リソースを返します。さらに、結果は IAMポリシーと指定されたコントロールの両方に関連しています。

基準値の動作

1 以上の基準値を指定すると、値はOR演算子とリンクされます。証拠ファインダーは、これらの基準値のいずれかに一致する結果を返します。

例

次のフィルター設定では、証拠ファインダーは、 AWS CloudTrail、 AWS Config、または のいずれかから取得した検索結果を返します AWS Security Hub。

グループ化のリファレンス

検索結果をグループ化して、すばやくナビゲートできます。グループ化すると、検索結果の範囲と、検索結果が特定のディメンションにどのように分布しているかがわかります。

以下のいずれかの値によるグループを使用できます。

グループ化	説明
アカウント ID	結果を でグループ化します AWS アカウント。
コントロール	結果をコントロール名でグループ化します。
[Data source type]	証拠の出所であるデータソースのタイプ別に結果をグループ化します。
イベント名	結果をイベント名でグループ化します。
リソース ARN	Amazon リソースネーム () で結果をグループ化しますARN。
リソースタイプ	結果をリソースタイプ別でグループ化します。
サービス	結果を AWS のサービス 名前でグループ化します。
サービスのカテゴリ	結果を AWS のサービス カテゴリ別にグループ化します。