Security Hub で無効にする推奨コントロール - AWS Security Hub
グローバルリソースを使用するコントロールCloudTrail ログ記録コントロールCloudWatch アラームコントロール

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Security Hub で無効にする推奨コントロール

検出結果のノイズを減らし、コストを制限するために、一部の AWS Security Hub コントロールを無効にすることをお勧めします。

グローバルリソースを使用するコントロール

一部の はグローバルリソース AWS のサービス をサポートしているため、任意の からリソースにアクセスできます AWS リージョン。のコストを節約するために AWS Config、1 つのリージョンを除くすべてのリージョンでグローバルリソースの記録を無効にすることができます。ただし、これを行った後、Security Hub は引き続きコントロールが有効になっているすべてのリージョンでセキュリティチェックを実行し、リージョンごとにアカウントごとのチェック数に基づいて料金を請求します。したがって、検出結果のノイズを減らし、Security Hub のコストを削減するには、グローバルリソースを記録するリージョンを除くすべてのリージョンで、グローバルリソースを含むコントロールを無効にする必要があります。

コントロールにグローバルリソースが含まれるが、1 つのリージョンでのみ利用可能な場合、そのリージョンでコントロールを無効にすると、基盤となるリソースの検出結果を取得できなくなります。この場合、コントロールを有効にしておくことをお勧めします。クロスリージョン集約を使用する場合、コントロールが利用可能なリージョンは、集約リージョンまたはリンクされたリージョンの 1 つである必要があります。次のコントロールにはグローバルリソースが含まれますが、1 つのリージョンでのみ使用できます。

  • すべての CloudFront コントロール – 米国東部 (バージニア北部) でのみ利用可能

  • GlobalAccelerator.1 – 米国西部 (オレゴン) でのみ利用可能

  • Route53.2 – 米国東部 (バージニア北部) でのみ利用可能

  • WAF.1、WAF.6、WAF.7、.WAF8 – 米国東部 (バージニア北部) でのみ利用可能

注記

中央設定を使用する場合、Security Hub はホームリージョンを除くすべてのリージョンのグローバルリソースを含むコントロールを自動的に無効にします。設定ポリシーが利用可能なすべてのリージョンで有効になっているが、有効にするその他のコントロール。これらのコントロールの検出結果を 1 つのリージョンのみに制限するには、 AWS Config レコーダー設定を更新し、ホームリージョンを除くすべてのリージョンでグローバルリソース記録をオフにできます。中央設定を使用する場合、ホームリージョンまたはリンクされたリージョンのいずれでも利用できないコントロールのカバレッジがありません。中央設定の詳細については、「Security Hub の中央設定について」を参照してください。

定期的なスケジュールタイプを持つコントロールの場合、課金を防ぐには Security Hub でコントロールを無効にする必要があります。 AWS Config パラメータを に設定includeGlobalResourceTypesfalseしても、定期的な Security Hub コントロールには影響しません。

以下は、グローバルリソースを使用する Security Hub コントロールのリストです。

CloudTrail ログ記録コントロール

このコントロールは、 AWS Key Management Service （AWS KMS) を使用して AWS CloudTrail 証跡ログを暗号化します。集中ログ記録アカウントでこれらの追跡をログ記録する場合、このコントロールは集中ログ記録が行われるアカウントとリージョンを有効化するだけで済みます。

注記

中央設定を使用した場合、コントロールの有効化ステータスは、ホームリージョンおよびリンクされたリージョンで統一されます。一部のリージョンでコントロールを無効にして、他のリージョンで有効にすることはできません。この場合は、以下のコントロールの検出結果を抑制し、検出結果のノイズを減らします。

CloudWatch アラームコントロール

Amazon CloudWatch アラームの代わりに異常検出 GuardDuty に Amazon を使用する場合は、 CloudWatch アラームに焦点を当てたこれらのコントロールを無効にすることができます。