AWS Audit Manager による証拠の収集方法

AWS Audit Manager のアクティブな各評価は、さまざまなデータソースから証拠を自動的に収集します。すべての評価では、Audit Manager によるデータの収集元となる AWS のサービス のサービスおよびアカウントを指定する範囲が定義されています。これらの定義された各データソースには複数のリソースが含まれており、各リソースはユーザーが所有するシステムアセットインベントリです。Audit Manager における証拠収集では、範囲内の各リソースが評価されます。これをリソース評価と呼びます。

次の手順は、Audit Manager が各リソース評価の証拠を収集する方法を説明するものです。

1. データソースからのリソース評価

証拠収集を開始するために、Audit Manager はデータソースから範囲内のリソースを評価します。これは、設定スナップショット、関連するコンプライアンスチェックの結果、およびユーザーアクティビティをキャプチャすることによって実行されます。その後、分析を実行して、このデータがサポートするコントロールを判別します。その後、リソース評価の結果が保存され、証拠に変換されます。さまざまな証拠タイプの詳細については、このガイドの「AWS Audit Manager の概念と用語」のセクションの「証拠」を参照してください。

2. 評価結果を証拠に変換する

リソース評価の結果には、そのリソースからキャプチャされた元のデータと、データがサポートするコントロールを示すメタデータの両方が含まれます。AWS Audit Manager は、元のデータを監査人が確認しやすい形式に変換します。変換されたデータとメタデータは、コントロールにアタッチされる前に Audit Manager の証拠として保存されます。

3. 関連するコントロールに証拠をアタッチする

Audit Manager は証拠のメタデータを読み取ります。その後、保存された証拠を評価内の関連するコントロールにアタッチします。アタッチされた証拠は、Audit Manager に表示されます。これで、リソース評価のサイクルが完了します。

注記

コントロールの設定によっては、同じ証拠を、複数の Audit Manager の評価からの複数のコントロールにアタッチできる場合があります。同じ証拠が複数のコントロールにアタッチされている場合、Audit Manager はリソース評価を 1 回だけ実行します。これは、同じ証拠が収集されるのが 1 回のみであることによります。ただし、Audit Manager の評価における 1 つのコントロールには、複数のデータソースからの複数の証拠が含まれている場合があります。

証拠収集の頻度

証拠収集は、評価を作成したときに開始される継続的なプロセスです。AWS Audit Manager は、さまざまな頻度で複数のデータソースから証拠を収集します。その結果、証拠収集の頻度についてあらゆる場合に当てはまる答えはありません。証拠収集の頻度は、以下で説明するように、証拠タイプとそのデータソースに基づいています。

• コンプライアンスチェック - Audit Manager は、AWS Security Hub および AWS Config からこの証拠タイプを収集します。

  • AWS Security Hub については、証拠収集の頻度は Security Hub チェックのスケジュールに従います。Security Hub チェックのスケジュールの詳細については、AWS Security Hub ユーザーガイドの「セキュリティチェックの実行スケジュール」を参照してください。Audit Manager でサポートされている Security Hub チェックの詳細については、「AWS Security Hub でサポートされる コントロール AWS Audit Manager」を参照してください。

  • AWS Config の場合、証拠収集の頻度は AWS Config のルールで定義されたトリガーに従います。AWS Config ルールのトリガーの詳細については、AWS Config ユーザーガイドの「トリガータイプ」を参照してください。Audit Manager でサポートされている AWS Config ルール の詳細については、「AWS Config ルール でサポートされる AWS Audit Manager」を参照してください。

• ユーザーアクティビティ - Audit Manager は、この証拠タイプを AWS CloudTrail から継続的に収集します。この頻度は継続的です。これは、ユーザーアクティビティが 1 日のうち、いつでも発生する可能性があるためです。詳細については、「AWS CloudTrail でサポートされる イベント名 AWS Audit Manager」を参照してください。

• 設定データ — Audit Manager は、Amazon EC2、Amazon S3、IAM などの別の AWS のサービス API コールを使用して、この証拠タイプを収集します。どの API アクションを呼び出すかを選択できます。また、Audit Manager で頻度を日次、週次、または月次として設定します。コントロールライブラリでコントロールを作成または編集するときに、この頻度を指定できます。コントロールを編集または作成する手順については、「コントロールライブラリ」を参照してください。Audit Manager が API コールを使用して証拠を作成する方法の詳細については、「でサポートされる API コール AWS Audit Manager」を参照してください。

データソースの証拠収集の頻度にかかわらず、コントロールと評価がアクティブである限り、新しい証拠は自動的に収集されます。