サービスマネージドスタンダード： AWS Control Tower - AWS Security Hub
サービスマネージドスタンダード AWS Control Towerとは標準の作成標準のコントロールの有効化と無効化有効化ステータスとコントロールステータスの表示標準を削除するサービスマネージドスタンダードの検出結果フィールド形式： AWS Control Towerサービスマネージドスタンダードに適用されるコントロール： AWS Control Tower

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

サービスマネージドスタンダード： AWS Control Tower

このセクションでは、サービスマネージドスタンダード: について説明します AWS Control Tower。

サービスマネージドスタンダード AWS Control Towerとは

この標準は、 AWS Security Hub および のユーザー向けに設計されています AWS Control Tower。これにより、 AWS Control Tower サービス内の Security Hub の検出コントロール AWS Control Tower とともに、 のプロアクティブコントロールを設定できます。

プロアクティブコントロールは、ポリシー違反や設定ミスにつながる可能性のあるアクションにフラグを付けるため、 がコンプライアンス AWS アカウント を維持するのに役立ちます。検出コントロールは、 AWS アカウント内のリソースのコンプライアンス違反 (設定ミスなど) を検出します。 AWS 環境のプロアクティブコントロールと検出コントロールを有効にすることで、開発のさまざまな段階でセキュリティ体制を強化できます。

ヒント

サービスマネージド標準は、 AWS Security Hub が管理する標準とは異なります。例えば、サービスマネージドスタンダードの作成および削除は、管理サービスで行う必要があります。詳細については、「Security Hub のサービスマネージドスタンダード」を参照してください。

Security Hub コンソールと API では、サービスマネージド Standard: AWS Control Tower と他の Security Hub 標準を表示できます。

標準の作成

この標準は、 で標準を作成する場合にのみ使用できます AWS Control Tower。 AWS Control Tower は、次のいずれかの方法を使用して、該当するコントロールを最初に有効にしたときに標準を作成します。

  • AWS Control Tower コンソール

  • AWS Control Tower API ( EnableControl API を呼び出す）

  • AWS CLI ( enable-control コマンドを実行します）

Security Hub コントロールは、 AWS Control Tower コンソールで SH.ControlID (SH.CodeBuild.1 など) として識別されます。

標準を作成するときに、Security Hub をまだ有効にしていない場合は、Security Hub AWS Control Tower も有効にします。

を設定していない場合 AWS Control Tower、Security Hub コンソール、Security Hub API、または でこの標準を表示またはアクセスすることはできません AWS CLI。をセットアップした場合でも AWS Control Tower、Security Hub でこの標準を表示またはアクセスするには、まず前述の方法のいずれか AWS Control Tower を使用して で標準を作成する必要があります。

この標準は、 を含む、 AWS リージョンAWS Control Tower が利用可能な でのみ使用できます AWS GovCloud (US)。

標準のコントロールの有効化と無効化

AWS Control Tower コンソールで標準を作成したら、両方のサービスで標準とその使用可能なコントロールを表示できます。

最初に標準を作成すると、これに自動的に有効化されたコントロールはありません。さらに、Security Hub が新しいコントロールを追加すると、サービスマネージドスタンダード: に対して自動的に有効になるわけではありません AWS Control Tower。次のいずれかの方法 AWS Control Tower を使用して、 で標準のコントロールを有効または無効にする必要があります。

でコントロールの有効化ステータスを変更すると AWS Control Tower、その変更は Security Hub にも反映されます。

ただし、 で有効になっている Security Hub でコントロールを無効にすると、コントロールドリフト AWS Control Tower が発生します。のコントロールステータスは と AWS Control Tower 表示されますDrifted。このドリフトを解決するには、 AWS Control Tower コンソールで OU の再登録を選択するか、前述の方法のいずれか AWS Control Tower を使用して でコントロールを無効化および再有効化します。

で有効化アクションと無効化アクションを完了すると、制御ドリフトを回避 AWS Control Tower できます。

でコントロールを有効または無効にすると AWS Control Tower、アクションはアカウントとリージョン全体に適用されます。Security Hub でコントロールを有効または無効にした場合 (標準では推奨されません)、アクションは現在のアカウントとリージョンにのみ適用されます。

注記

中央設定は、サービスマネージドスタンダード: の管理には使用できません AWS Control Tower。中央設定を使用する場合は、 AWS Control Tower サービスのみを使用して、一元管理されたアカウントに対してこの標準のコントロールを有効または無効にできます。

有効化ステータスとコントロールステータスの表示

次のいずれかの方法を使用して、コントロールの有効化ステータスを表示できます。

  • Security Hub コンソール、Security Hub API、または AWS CLI

  • AWS Control Tower コンソール

  • AWS Control Tower 有効なコントロールのリストを表示する API ( ListEnabledControls API を呼び出す）

  • AWS CLI 有効なコントロールのリストを表示するには ( list-enabled-controls コマンドを実行）

で無効にしたコントロール AWS Control Tower は、Security Hub Disabledでそのコントロールを明示的に有効にしない限り、Security Hub で の有効化ステータスになります。

Security Hub は、ワークフローステータスおよびコントロール検出結果のコンプライアンスステータスに基づき、コントロールステータスを計算します。有効化ステータスとコントロールステータスの詳細については、「コントロールの詳細の表示」 を参照してください。

コントロールのステータスに基づいて、Security Hub はサービスマネージドスタンダードのセキュリティスコアを計算します AWS Control Tower。このスコアは Security Hub のみで確認できます。また、Security Hub で表示できるのは統制結果のみです。標準のセキュリティスコアとコントロールの検出結果は では使用できません AWS Control Tower。

注記

サービスマネージドスタンダード: のコントロールを有効にすると AWS Control Tower、Security Hub が既存の AWS Config サービスにリンクされたルールを使用するコントロールの検出結果を生成するまでに最大 18 時間かかる場合があります。Security Hub で他の標準やコントロールを有効にしている場合、既存のサービスリンクルールが存在する可能性があります。詳細については、「セキュリティチェックの実行スケジュール」を参照してください。

標準を削除する

次のいずれかの方法を使用して、該当するすべてのコントロールを無効にする AWS Control Tower ことで、 でこの標準を削除できます。

  • AWS Control Tower コンソール

  • AWS Control Tower API ( DisableControl API を呼び出す）

  • AWS CLI ( disable-control コマンドを実行します）

すべてのコントロールを無効にすることにより、 AWS Control Tower のすべてのマネージドアカウントと管理対象リージョンの標準が削除されます。で標準を削除すると、Security Hub コンソールの標準ページ AWS Control Tower から削除され、Security Hub API または を使用してアクセスできなくなります AWS CLI。

注記

Security Hub で標準のすべてのコントロールを無効にしても、標準が無効化または削除されることはありません。

Security Hub サービスを無効にすると、サービスマネージドスタンダード AWS Control Tower および有効化したその他の標準が削除されます。

サービスマネージドスタンダードの検出結果フィールド形式： AWS Control Tower

サービスマネージドスタンダード: を作成し、そのコントロールを有効にする AWS Control Tower と、Security Hub でコントロールの検出結果の受信が開始されます。Security Hub は、AWS Security Finding 形式 (ASFF) で統制結果をレポートします。これらは、この標準の Amazon リソースネーム (ARN) および GeneratorId の ASFF 値です。

  • 標準 ARN — arn:aws:us-east-1:securityhub:::standards/service-managed-aws-control-tower/v/1.0.0

  • GeneratorId – service-managed-aws-control-tower/v/1.0.0/CodeBuild.1

サービスマネージドスタンダード: の検出結果のサンプルについては AWS Control Tower、「」を参照してくださいSecurity Hub でのコントロール検出結果のサンプル。

サービスマネージドスタンダードに適用されるコントロール： AWS Control Tower

サービスマネージドスタンダード: は、 AWS Foundational Security Best Practices (FSBP) 標準の一部であるコントロールのサブセット AWS Control Tower をサポートします。コントロールを選択すると、失敗した検出結果の修正ステップなど、そのコントロールに関する情報が表示されます。

次のリストは、サービスマネージドスタンダードで使用可能なコントロールを示しています AWS Control Tower。コントロールに対するリージョンの制限は、FSBP 標準のコロラリーコントロールに対するリージョンの制限と一致します。このリストには、標準に依存しないセキュリティコントロール ID が表示されます。 AWS Control Tower コンソールでは、コントロール IDs は SH.ControlID (SH.CodeBuild.1 など) としてフォーマットされます。Security Hub では、[統合されたコントロールの検出結果] が無効になっている場合、ProductFields.ControlId フィールドに標準ベースのコントロール ID が使用されます。標準ベースのコントロール ID は、CT.ControlId (CT.CodeBuild.1 など) としてフォーマットされます。

この標準の詳細については、「AWS Control Tower ユーザーガイド」の「Security Hub controls」(Security Hub コントロール) を参照してください。