アラートのソース - AWS Security Incident Response ユーザーガイド

アラートのソース

アラートを定義するには、次のソースの使用を検討してください。

  • 検出結果 – Amazon GuardDuty、AWS Security Hub、Amazon Macie、Amazon Inspector、AWS Config、IAM Access Analyzer、Network Access Analyzer などの AWS サービスでは、アラートの作成に使用できる検出結果が生成されます。

  • ログ – Amazon S3 バケットと CloudWatch ロググループに保存されている AWS サービス、インフラストラクチャ、アプリケーションログを解析し、相関させることでアラートを生成できます。

  • 請求アクティビティ – 請求アクティビティの突然の変更は、セキュリティイベントを示している可能性があります。これは「AWS の予想請求額をモニターリングする請求アラームの作成」ドキュメントに従ってモニタリングします。

  • サイバー脅威インテリジェンス – サードパーティーのサイバー脅威インテリジェンスフィードをサブスクライブする場合、その情報を他のログおよびモニタリングツールと関連付けて、イベントの潜在的な指標を特定できます。

  • パートナーツール – AWS Partner Network (APN) のパートナーは、セキュリティ目標の達成に役立つ最上位の製品を提供しています。インシデント対応では、エンドポイントの検出と対応 (EDR) または SIEM を使用するパートナー製品は、インシデント対応目標をサポートします。詳細については、「Security Partner Solutions」と「Security Solutions in the AWS Marketplace」を参照してください。

  • AWS の信頼と安全 – 不正または悪意のあるアクティビティを特定した場合、サポート からお客様に連絡することがあります。

  • 1 回限りの問い合わせ – お客様、開発者、または組織内の他のスタッフが異常に気付く可能性があるため、セキュリティチームへの連絡方法を周知させ、適切に公開することが重要です。一般的な選択肢には、チケットシステム、連絡先メールアドレス、ウェブフォームなどがあります。一般ユーザーと連携する組織の場合、一般向けのセキュリティに関する問い合わせ手段が必要になる場合もあります。

調査中に使用できるクラウド機能の詳細については、本書の「付録 A: クラウド機能の定義」を参照してください。