Security Hub のセキュリティコントロールについて

セキュリティコントロールは、組織が情報の機密性、完全性、可用性を保護する際に役立つセキュリティ標準内の保護手段です。Security Hub では、コントロールは特定の AWS リソースに関連しています。

1 つ以上の標準でコントロールを有効にすると、Security Hub はセキュリティチェックの実行を開始します。セキュリティチェックの結果、Security Hub の検出結果が表示されます。コントロールを無効にすると、Security Hub はそのコントロールに対するセキュリティチェックの実行を停止し、検出結果は生成されなくなります。

1 つのアカウントと のコントロールを個別に有効または無効にできます AWS リージョン。マルチアカウント環境で時間を節約し、設定ドリフトを減らすには、中央設定を使用してコントロールを有効または無効にすることをお勧めします。一元的な設定では、委任 Security Hub 管理者は、複数のアカウントとリージョンでコントロールを設定する方法を指定するポリシーを作成できます。コントロールの有効化と無効化の詳細については、「Security Hub でのコントロールの有効化」を参照してください。

統合コントロールビュー

Security Hub コンソールのコントロールページには、現在の で使用可能なすべてのコントロールが表示されます AWS リージョン （セキュリティ標準ページにアクセスして有効な標準を選択すると、標準コンテキストでコントロールを表示できます）。セキュリティハブは、どの標準でも一貫したセキュリティコントロール ID、タイトル、説明をコントロールに割り当てます。コントロール IDsには、関連する番号 AWS のサービス と一意の番号 (CodeBuild.3).

次の情報は、Security Hub コンソールの [コントロール] ページにあります。

• データを含む有効なコントロールの総数に対する合格したコントロールの割合に基づく、総合的なセキュリティスコア

• サポートされているすべての Security Hub コントロールのコントロールステータスの内訳

• セキュリティチェックの合格と不合格の合計数。

• 重要度の異なるコントロールの失敗したセキュリティチェックの数と、それらの失敗したチェックの詳細を表示するリンク。

• Security Hub コントロールのリスト。コントロールの特定のサブセットを表示するフィルターがあります。

[コントロール] ページでコントロールを選択して詳細を確認し、コントロールが生成した検出結果に対してアクションを実行することができます。このページでは、現在の AWS アカウント および でセキュリティコントロールを有効または無効にすることもできます AWS リージョン。[コントロール] ページからの有効化および無効化アクションは、すべての標準に適用されます。詳細については、「Security Hub でのコントロールの有効化」を参照してください。

管理者アカウントの場合、[コントロール] ページには、メンバーアカウント全体のコントロールのステータスが反映されます。コントロールチェックが少なくとも 1 つのメンバーアカウントで失敗した場合、コントロールステータスは [失敗] です。集約リージョンを設定している場合、[コントロール] ページには、リンクされているすべてのリージョンのコントロールステータスが反映されます。少なくとも 1 つのリンクされたリージョンでコントロールチェックが失敗した場合、コントロールステータスは [失敗] です。

統合コントロールビューでは、ワークフローに影響を与える可能性のある AWS Security Finding Format (ASFF) のコントロール検出結果フィールドが変更されます。詳細については、「統合コントロールビュー — ASFF の変更」を参照してください。

コントロールのセキュリティスコアの概要

[コントロール] ページには、0～100% のセキュリティスコアの概要が表示されます。セキュリティスコアの概要は、標準全体のデータを含む有効なコントロールの総数に対する合格したコントロールの割合に基づき計算されます。

注記

コントロールの全体的なセキュリティスコアを表示するには、Security Hub へのアクセスに使用する IAM ロールに BatchGetControlEvaluations の呼び出し権限を追加する必要があります。この権限は、特定の標準のセキュリティスコアを表示する場合には必要ありません。

Security Hub を有効にすると、Security Hub は、Security Hub コンソールの [概要] ページまたは [セキュリティ基準] ページへの最初のアクセスから 30 分以内に最初のセキュリティスコアを計算します。中国リージョンおよび AWS GovCloud (US) Regionsでは、最初のセキュリティスコアが作成されるまで、最大 24 時間かかる場合があります。

全体的なセキュリティスコアに加えて、Security Hub は、Security Hub コンソールの [概要] ページまたは [セキュリティ標準] ページへの最初のアクセスから 30 分以内に、有効になっている標準ごとにセキュリティスコアを計算します。現在有効になっている標準のリストを表示するには、GetEnabledStandards API オペレーションを使用します。

AWS Config スコアを表示するには、リソース記録で を有効にする必要があります。Security Hub がセキュリティスコアを計算する方法については、「」を参照してくださいセキュリティスコアの計算。

最初のスコア生成の後、Security Hub はセキュリティスコアを 24 時間ごとに更新します。Security Hub には、セキュリティスコアが最後に更新されたときの時刻が表示されます。

集約リージョンを設定している場合、全体のセキュリティスコアには、リンクされたリージョン全体の検出結果が反映されます。