翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。
コントロールの結果を生成および更新する
AWS Security Hub CSPM は、セキュリティコントロールに対してチェックを実行すると、コントロールの検出結果を生成および更新します。コントロールの検出結果は AWS Security Finding 形式 (ASFF) を使用します。
Security Hub CSPM は通常、コントロールのセキュリティチェックごとに課金されます。ただし、複数のコントロールが同じ AWS Config ルールを使用する場合、Security Hub CSPM はルールに対するチェックごとに 1 回のみ課金します。たとえば、この AWS Config iam-password-policyルールは CIS AWS Foundations Benchmark 標準と AWS Foundational Security Best Practices 標準の複数のコントロールで使用されます。Security Hub CSPM がそのルールに対してチェックを実行するたびに、関連するコントロールごとに個別のコントロール結果を生成しますが、チェックに対して課金されるのは 1 回のみです。
コントロール検出結果のサイズが最大 240 KB を超える場合、Security Hub CSPM は検出結果からResource.Detailsオブジェクトを削除します。リソースによって AWS Config バックアップされるコントロールについては、 AWS Config コンソールを使用してリソースの詳細を確認できます。
トピック
統合されたコントロールの検出結果
アカウントで統合コントロールの検出結果が有効になっている場合、Security Hub CSPM は、コントロールが複数の有効な標準に適用されていても、コントロールのセキュリティチェックごとに 1 つの検出結果または検出結果の更新を生成します。適用されるコントロールと標準のリストについては、「」を参照してくださいSecurity Hub CSPM のコントロールリファレンス。検出結果のノイズを減らすために、統合コントロールの検出結果を有効にすることをお勧めします。
2023 年 2 月 23 日より AWS アカウント 前に で Security Hub CSPM を有効にした場合は、このセクションの後半の手順に従って、統合コントロールの検出結果を有効にできます。2023 年 2 月 23 日以降に Security Hub CSPM を有効にすると、アカウントに対して統合コントロールの検出結果が自動的に有効になります。
手動の招待プロセスを通じて Security Hub CSPM と または招待されたメンバーアカウントとの統合 AWS Organizationsを使用する場合、統合コントロールの検出結果は、管理者アカウントに対して有効になっている場合にのみ、メンバーアカウントに対して有効になります。管理者アカウントでこの機能が無効になっている場合、メンバーアカウントでは無効になっています。この挙動は、新規および既存のメンバーアカウントに適用されます。さらに、管理者が中央設定を使用して複数のアカウントの Security Hub CSPM を管理している場合、中央設定ポリシーを使用してアカウントの統合コントロール結果を有効または無効にすることはできません。
アカウントの統合コントロール検出結果を無効にすると、Security Hub CSPM は、コントロールを含む有効な標準ごとに個別のコントロール検出結果を生成または更新します。たとえば、コントロールを共有する 4 つの標準を有効にすると、コントロールのセキュリティチェック後に 4 つの個別の検出結果を受け取ります。[統合されたコントロールの検出結果] を有効にすると、検出結果が 1 つのみになります。
統合コントロールの検出結果を有効にすると、Security Hub CSPM は新しい標準に依存しない検出結果を作成し、元の標準ベースの検出結果をアーカイブします。一部のコントロール検出結果のフィールドと値は変更され、既存のワークフローに影響する可能性があります。これらの変更の詳細については、「」を参照してください統合されたコントロールの検出結果 — ASFF の変更。統合されたコントロールの検出結果を有効にすると、統合されたサードパーティー製品が Security Hub CSPM から受け取る検出結果にも影響する可能性があります。v2.0.0 AWS での自動化されたセキュリティ対応
[統合されたコントロールの検出結果] を有効または無効にするには、管理者アカウントまたはスタンドアロンアカウントにサインインする必要があります。
注記
統合コントロールの検出結果を有効にすると、Security Hub CSPM が新しい統合検出結果を生成し、既存の標準ベースの検出結果をアーカイブするまでに最大 24 時間かかることがあります。同様に、統合コントロールの検出結果を無効にした後、Security Hub CSPM が新しい標準ベースの検出結果を生成し、既存の統合検出結果をアーカイブするまでに最大 24 時間かかることがあります。この間、アカウントに標準に依存しない検出結果と標準ベースの検出結果が混在することがあります。
コントロールの検出結果の生成、更新、アーカイブ
Security Hub CSPM は、スケジュールに従ってセキュリティチェックを実行します。Security Hub CSPM がコントロールのセキュリティチェックを初めて実行すると、コントロールがチェックする AWS リソースごとに新しい検出結果が生成されます。Security Hub CSPM がその後コントロールのセキュリティチェックを実行するたびに、既存の検出結果を更新してチェックの結果を報告します。つまり、個々の検出結果から提供されたデータを使用して、特定のコントロールに対する特定のリソースのコンプライアンス変更を追跡できます。
たとえば、リソースのコンプライアンスステータスが特定のコントロールPASSEDで から FAILED に変わった場合、Security Hub CSPM は新しい検出結果を生成しません。代わりに、Security Hub CSPM はコントロールとリソースの既存の検出結果を更新します。検出結果では、Security Hub CSPM はコンプライアンスステータス (Compliance.Status) フィールドの値を に変更しますPASSED。Security Hub CSPM は、チェックの結果を反映するために追加のフィールドの値も更新します。例えば、Security Hub CSPM が最後にチェックを実行し、検出結果を更新した日時を示す重要度ラベル、ワークフローステータス、タイムスタンプなどです。
コンプライアンスステータスの変更を報告すると、Security Hub CSPM はコントロール検出結果の次のいずれかのフィールドを更新することがあります。
-
Compliance.Status– 指定されたコントロールのリソースの新しいコンプライアンスステータス。 -
FindingProviderFields.Severity.Label– 、、 などLOWMEDIUM、検出結果の重要度の新しい定性的表現HIGH。 -
FindingProviderFields.Severity.Original– 準拠リソース0など、検出結果の重要度の新しい定量的表現。 -
FirstObservedAt– リソースのコンプライアンスステータスが最後に変更されたとき。 -
LastObservedAt– Security Hub CSPM が最後に、指定されたコントロールとリソースのセキュリティチェックを実行したとき。 -
ProcessedAt– Security Hub CSPM が最近検出結果の処理を開始したとき。 -
ProductFields.PreviousComplianceStatus– 指定されたコントロールのリソースの以前のコンプライアンスステータス (Compliance.Status）。 -
UpdatedAt– Security Hub CSPM が最後に検出結果を更新したとき。 -
Workflow.Status– 指定されたコントロールのリソースの新しいコンプライアンスステータスに基づく、検出結果の調査のステータス。
Security Hub CSPM がフィールドを更新するかどうかは、主に該当するコントロールとリソースの最新のセキュリティチェックの結果によって異なります。たとえば、特定のコントロールFAILEDのリソースのコンプライアンスステータスが から PASSEDに変わった場合、Security Hub CSPM は検出結果のワークフローステータスを に変更しますNEW。個々の検出結果の更新を追跡するには、検出結果の履歴を参照できます。検出結果の個々のフィールドの詳細については、AWS 「Security Finding Format (ASFF)」を参照してください。
場合によっては、Security Hub CSPM は、既存の検出結果を更新する代わりに、コントロールによって後続のチェック用の新しい検出結果を生成します。これは、コントロールをバックアップする AWS Config ルールに問題がある場合に発生する可能性があります。この場合、Security Hub CSPM は既存の検出結果をアーカイブし、チェックごとに新しい検出結果を生成します。新しい検出結果では、コンプライアンスステータスは NOT_AVAILABLEで、レコードステータスは ですARCHIVED。 AWS Config ルールの問題に対処すると、Security Hub CSPM は新しい検出結果を生成し、個々のリソースのコンプライアンスステータスに対するその後の変更を追跡するために更新を開始します。
Security Hub CSPM は、コントロールの検出結果の生成と更新に加えて、特定の基準を満たすコントロールの検出結果を自動的にアーカイブします。Security Hub CSPM は、コントロールが無効になっている場合、指定されたリソースが削除された場合、または指定されたリソースが存在しなくなった場合に、検出結果をアーカイブします。関連付けられたサービスが使用されなくなったため、リソースが存在しない可能性があります。具体的には、Security Hub CSPM は、検出結果が次のいずれかの基準を満たす場合に、コントロール検出結果を自動的にアーカイブします。
-
検出結果は 3～5 日間更新されていません。この時間枠に基づくアーカイブはベストエフォートベースであり、保証されていないことに注意してください。
-
指定されたリソースのコンプライアンスステータス
NOT_APPLICABLEに対して返される関連する AWS Config 評価。
検出結果がアーカイブされているかどうかを判断するには、検出結果のレコード状態 (RecordState) フィールドを参照できます。結果がアーカイブされている場合、このフィールドの値は ですARCHIVED。
Security Hub CSPM は、アーカイブされたコントロールの検出結果を 30 日間保存します。30 日後、検出結果は期限切れになり、Security Hub CSPM によって完全に削除されます。アーカイブされたコントロールの検出結果の有効期限が切れているかどうかを判断するために、Security Hub CSPM は検出結果の UpdatedAtフィールドの値に基づいてその計算を行います。
アーカイブされたコントロールの検出結果を 30 日以上保存するには、検出結果を S3 バケットにエクスポートできます。これを行うには、Amazon EventBridge ルールでカスタムアクションを使用します。詳細については、「EventBridge を使用した自動応答と修復」を参照してください。
注記
2025 年 7 月 3 日以前は、コントロールのリソースのコンプライアンスステータスが変更されると、Security Hub CSPM はコントロールの検出結果を生成および更新しました。以前は、Security Hub CSPM は新しいコントロール検出結果を作成し、リソースの既存の検出結果をアーカイブしていました。したがって、(30 日後に) 検出結果の有効期限が切れるまで、特定のコントロールとリソースに対して複数のアーカイブされた検出結果が存在する可能性があります。
コントロールの検出結果の自動化と抑制
Security Hub CSPM オートメーションルールを使用して、特定のコントロール検出結果を更新または抑制できます。検出結果を抑制すると、引き続きその検出結果にアクセスできます。ただし、抑制は、検出結果に対処するためのアクションは必要ないと考えていることを示します。
検出結果を抑制することで、検出結果のノイズを減らすことができます。たとえば、テストアカウントで生成されたコントロールの検出結果を抑制できます。または、特定のリソースに関連する検出結果を抑制することもできます。結果の自動更新または抑制の詳細については、「」を参照してくださいSecurity Hub CSPM のオートメーションルールについて。
自動化ルールは、特定のコントロール結果を更新または抑制する場合に適しています。ただし、コントロールが組織やユースケースに関連しない場合は、コントロールを無効にすることをお勧めします。コントロールを無効にすると、Security Hub CSPM はコントロールのセキュリティチェックを実行せず、課金されません。
コントロールの検出結果のコンプライアンスの詳細
コントロールのセキュリティチェックによって生成された検出結果では、 AWS Security Finding 形式 (ASFF) の Compliance オブジェクトとフィールドは、コントロールがチェックした個々のリソースのコンプライアンスの詳細を提供します。これには、次の情報が含まれます。
-
AssociatedStandards– コントロールが有効になっている有効な標準。 -
RelatedRequirements– 有効なすべての標準におけるコントロールの関連要件。これらの要件は、Payment Card Industry Data Security Standard (PCI DSS) や NIST SP 800-171 Revision 2 標準など、コントロール用のサードパーティーのセキュリティフレームワークから派生しています。 -
SecurityControlId– Security Hub CSPM がサポートする標準全体のコントロールの識別子。 -
Status– Security Hub CSPM がコントロールに対して実行した最新のチェックの結果。以前のチェックの結果は、検出結果の履歴に保持されます。 -
StatusReasons–Statusフィールドで指定された値の理由を示す配列。理由ごとに、理由コードと説明が含まれます。
次の表に、結果に含まれる可能性のある理由コードと説明を示しますStatusReasons。修復手順は、指定された理由コードで結果を生成したコントロールによって異なります。コントロールの修復ガイダンスを確認するには、「」を参照してくださいSecurity Hub CSPM のコントロールリファレンス。
| 理由コード | コンプライアンス状況 | 説明 |
|---|---|---|
|
|
|
マルチリージョンの CloudTrail 追跡に有効なメトリクスフィルターが設定されていません。 |
|
|
|
マルチリージョンの CloudTrail 追跡用のメトリクスフィルターがありません。 |
|
|
|
アカウントに、必要な設定のマルチリージョンの CloudTrail 追跡が存在しません。 |
|
|
|
マルチリージョンの CloudTrail 追跡が現在のリージョンに存在しません。 |
|
|
|
有効なアラームアクションが存在しません。 |
|
|
|
CloudWatch アラームがアカウントに存在しません。 |
|
|
AWS Config ステータスは です |
AWS Config アクセスが拒否されました。 AWS Config が有効で、十分なアクセス許可が付与されていることを確認します。 |
|
|
|
AWS Config は、 ルールに基づいてリソースを評価しました。 ルールがスコープ内の AWS リソースに適用されなかったか、指定されたリソースが削除されたか、評価結果が削除されました。 |
|
|
|
AWS Config レコーダーはサービス AWS Config にリンクされたロールの代わりにカスタム IAM ロールを使用し、Config.1 の |
|
|
|
AWS Config 設定レコーダーをオンにすると、 は有効になっていません。 |
|
|
|
AWS Config は、有効な Security Hub CSPM コントロールに対応するすべてのリソースタイプを記録しているわけではありません。次のリソースの記録を有効にします: |
|
|
|
コンプライアンスステータスは、 が該当なしのステータスを AWS Config 返した AWS Config はステータスの理由を提供しません。ステータスが Not Applicable である理由は、以下のように考えられます。
|
|
|
AWS Config ステータスは です |
この理由コードは、いくつかの異なる種類の評価エラーに使用されます。 説明には、具体的な理由の情報が含まれます。 エラーの種類は、次のいずれかになります。
|
|
|
AWS Config ステータスは です |
AWS Config ルールは作成中です。 |
|
|
|
不明なエラーが発生しました。 |
|
|
|
Security Hub CSPM は、カスタム Lambda ランタイムに対してチェックを実行できません。 |
|
|
|
このルールに関連付けられている S3 バケットが別のリージョンまたはアカウントにあるため、検出結果は このルールは、クロスリージョンまたはクロスアカウントのチェックをサポートしていません。 このリージョンまたはアカウントでは、このコントロールを無効にすることをお勧めします。リソースがあるリージョンまたはアカウントでのみ実行します。 |
|
|
|
CloudWatch Logs メトリクスフィルターに有効な Amazon SNS サブスクリプションが含まれていません。 |
|
|
|
結果が このルールに関連付けられた SNS トピックは、別のアカウントによって所有されています。現在のアカウントでは、サブスクリプション情報を取得できません。 SNS トピックを所有するアカウントは、SNS トピックへの |
|
|
|
このルールに関連付けられた SNS トピックが別のリージョンまたはアカウントにあるため、結果が このルールは、クロスリージョンまたはクロスアカウントのチェックをサポートしていません。 このリージョンまたはアカウントでは、このコントロールを無効にすることをお勧めします。リソースがあるリージョンまたはアカウントでのみ実行します。 |
|
|
|
このルールに関連付けられている SNS トピックが無効です。 |
|
|
|
関連する API オペレーションが許可されたレートを超えました。 |
コントロールの検出結果の ProductFields の詳細
コントロールのセキュリティチェックによって生成された検出結果では、 AWS Security Finding Format (ASFF) の ProductFields 属性に次のフィールドを含めることができます。
ArchivalReasons:0/Description-
Security Hub CSPM が検出結果をアーカイブした理由について説明します。
例えば、コントロールまたは標準を無効にするか、統合コントロールの検出結果を有効または無効にすると、Security Hub CSPM は既存の検出結果をアーカイブします。
ArchivalReasons:0/ReasonCode-
Security Hub CSPM が検出結果をアーカイブした理由を指定します。
例えば、コントロールまたは標準を無効にするか、統合コントロールの検出結果を有効または無効にすると、Security Hub CSPM は既存の検出結果をアーカイブします。
PreviousComplianceStatus-
検出結果の最新の更新時点での、指定されたコントロールのリソースの以前のコンプライアンスステータス (
Compliance.Status）。リソースのコンプライアンスステータスが最新の更新中に変更されなかった場合、この値は検出結果のCompliance.Statusフィールドの値と同じです。可能な値の一覧については、コンプライアンスステータスとコントロールステータスの評価 を参照してください。 StandardsGuideArnまたはStandardsArn-
コントロールに関連付けられた標準の ARN。
CIS AWS Foundations Benchmark 標準の場合、 フィールドは です
StandardsGuideArn。PCI DSS および AWS Foundational Security Best Practices 標準の場合、 フィールドは ですStandardsArn。[統合されたコントロールの検出結果] を有効にすると、これらのフィールドは
Compliance.AssociatedStandardsに合わせて削除されます。 StandardsGuideSubscriptionArnまたはStandardsSubscriptionArn-
標準へのアカウントのサブスクリプションの ARN。
CIS AWS Foundations Benchmark 標準の場合、 フィールドは です
StandardsGuideSubscriptionArn。PCI DSS および AWS Foundational Security Best Practices 標準の場合、 フィールドは ですStandardsSubscriptionArn。[統合されたコントロールの検出結果] を有効にすると、これらのフィールドは削除されます。
RuleId、またはControlId-
コントロールの識別子。
CIS AWS Foundations Benchmark 標準の場合、 フィールドは です
RuleId。他の標準の場合、このフィールドはControlIdです。[統合されたコントロールの検出結果] を有効にすると、これらのフィールドは
Compliance.SecurityControlIdに合わせて削除されます。 RecommendationUrl-
コントロールの修正情報の URL。[統合されたコントロールの検出結果] を有効にすると、このフィールドは
Remediation.Recommendation.Urlに合わせて削除されます。 RelatedAWSResources:0/name-
結果に関連付けられたリソースの名前。
RelatedAWSResource:0/type-
コントロールに関連付けられたリソースのタイプ。
StandardsControlArn-
コントロールの ARN。[統合されたコントロールの検出結果] を有効にすると、このフィールドは削除されます。
aws/securityhub/ProductName-
コントロールの検出結果の場合、製品名は です
Security Hub。 aws/securityhub/CompanyName-
コントロールの検出結果の場合、会社名は です
AWS。 aws/securityhub/annotation-
コントロールによって検出された問題の説明。
aws/securityhub/FindingId-
検出結果の識別子。
[統合されたコントロールの検出結果] を有効にした場合、このフィールドは標準を参照しません。
コントロールの検出結果の重要度レベル
Security Hub CSPM コントロールに割り当てられた重要度は、コントロールの重要性を示します。コントロールの重要度により、コントロールの結果に割り当てられる重要度ラベルが決まります。
重要度の基準
コントロールの重要度は、以下の基準の評価に基づいて決定されます:
-
脅威アクターがコントロールに関連する設定の弱点を利用する際の難易度 この難易度は、弱点を利用して脅威シナリオを実行するために必要な洗練度または複雑さの度合いによって決まります。
-
弱点が AWS アカウント または リソースの侵害につながる可能性はどの程度ありますか？ AWS アカウント または リソースの侵害は、データまたは AWS インフラストラクチャの機密性、完全性、可用性が何らかの形で損なわれることを意味します。侵害の可能性は、脅威シナリオが AWS のサービス または リソースの中断または違反につながる可能性を示します。
例えば、次の設定の弱点について検討します。
-
ユーザーアクセスキーが 90 日ごとにローテーションされません。
-
IAM ルートユーザーキーが存在します。
どちらの弱点も、攻撃者が悪用する際の難易度は同程度です。両方の弱点とも、攻撃者は認証情報の盗難やその他の方法を使用してユーザーキーを取得します。その後、このユーザーキーを使用して、許可されない方法でリソースにアクセスします。
ただし、脅威アクターによって取得されたアクセスキーがルートユーザーのものである場合、よりアクセス性が高いため、侵害の可能性はより高くなります。この結果、ルートユーザーキーの弱点は、重要度が高くなります。
重要度では、基になるリソースの重大度は考慮されていません。重大度は、結果に関連付けられているリソースの重要性の程度として定義されます。たとえば、ミッションクリティカルなアプリケーションに関連付けられているリソースは、非本番テストに関連付けられているリソースよりも重要です。リソース重要度情報をキャプチャするには、 AWS Security Finding 形式 (ASFF) の Criticalityフィールドを使用します。
次の表に、悪用行為の難易度と、セキュリティラベルが侵害される可能性を示します。
|
侵害の可能性が非常に高い |
侵害の可能性が高い |
侵害の可能性が低い |
侵害の可能性が非常に低い |
|
|
悪用行為が非常に簡単 |
重大 |
重大 |
高 |
中 |
|
悪用行為がやや簡単 |
重大 |
高 |
中 |
中 |
|
悪用行為がやや難しい |
高 |
中 |
中 |
低 |
|
悪用行為が非常に難しい |
中 |
中 |
低 |
低 |
重要度の定義
重要度ラベルは次のように定義されています。
- 重大 - この問題は、さらに悪化しないように直ちに修復する必要があります。
-
例えば、公開された S3 バケットは重大な重要度の結果と考えられます。非常に多くの脅威アクターによって、公開された S3 バケットがスキャンされるため、公開された S3 バケット内のデータは、他者によって発見およびアクセスされる可能性があります。
一般に、パブリックにアクセス可能なリソースは、セキュリティ上の重大な問題と見なされます。重大な結果への対応は、緊急性が最も高くなります。また、リソースの重大度も考慮する必要があります。
- 高 - この問題は短期的な優先事項として対処する必要があります。
-
例えば、デフォルトの VPC セキュリティグループがインバウンドおよびアウトバウンドトラフィックに対して開かれている場合、重要度が高いと考えられます。脅威アクターがこの方法を使用して VPC を侵害することは、やや簡単であるためです。また、脅威アクターが VPC 内に侵入すると、リソースを中断または流出させる可能性があります。
Security Hub CSPM では、重要度の高い検出結果を短期的な優先度として扱うことをお勧めします。すぐに修復手順を実行する必要があります。また、リソースの重大度も考慮する必要があります。
- 中 - この問題は、中期的な優先事項として対処する必要があります。
-
例えば、転送中のデータの暗号化が欠如している場合、重要度が中程度の結果と考えられます。高度な中間者攻撃では、この弱点を悪用することになります。つまり、やや難しい攻撃手法です。脅威シナリオが成功すると、一部のデータが侵害される可能性があります。
Security Hub CSPM では、できるだけ早く関連するリソースを調査することをお勧めします。また、リソースの重大度も考慮する必要があります。
- 低 - この問題には、独自のアクションは必要ありません。
-
例えば、フォレンジック情報の収集に失敗した場合、重要度が低いと考えられます。この管理は将来の侵害を防ぐのに役立ちますが、フォレンジックが実行されない限り、侵害に直接つながりません。
重要度の低い結果については、すぐにアクションを実行する必要はありませんが、他の問題と相関関係がある場合は、コンテキストを入手できます。
- 情報 - 設定の弱点は見つかりませんでした。
-
つまり、ステータスは
PASSED、WARNING、またはNOT AVAILABLEです。推奨されるアクションはありません。通知目的の結果は、顧客が準拠状態であることを実証するのに役立ちます。
