AWS Security Hub設定ガイド コンプライアンス自動化
※本記事はプロモーションを含みます。
AWS Security Hubは、AWSアカウント内のセキュリティ体制を一元管理し、コンプライアンス基準への準拠状況を自動で監視するサービスです。複数のAWSアカウント・リージョンにまたがるセキュリティ体制を構築する際、手動でのチェックはスケーラビリティに欠けるため、Security Hubの自動化機能を活用することが企業向けシステムのセキュリティ成熟度を大きく高めるとされています。本記事では、Security Hubの初期設定からコンプライアンス監視の自動化、実運用でのベストプラクティスまでを解説します。【推定読了時間：7分】
AWS Security Hubで実現できる自動監視
AWS Security Hubは、AWSアカウント全体のセキュリティアラートを集約し、複数のセキュリティサービスの検出結果を統一的に表示・管理するサービスとされています。Security Hub単体では検査を実施しませんが、AWS Configやイベント検出サービスとの連携により、以下の監視を自動化できます。
- IAM権限設定の不適切な箇所の自動検出
- ストレージ（S3、EBS）の暗号化状態監視
- ネットワークセキュリティグループ（SG）の設定異常検知
- CIS AWS Foundations Benchmark等の業界標準ベンチマークに基づく自動評価
- 複数リージョン・複数アカウントの一元監視
エンタープライズ向けのシステムでは、セキュリティチーム人員の制約から手動チェックだけでは対応困難な場合が多いため、Security Hubの自動検出機能の導入は運用負荷低減とコンプライアンス準拠率向上の両面で効果的とされています。
初期設定の手順
1. Security Hubの有効化
まず、AWSマネジメントコンソールにおいて、AWS Security Hubのダッシュボードにアクセスします。初回アクセス時には「有効化」ボタンが表示されます。有効化を進めると、デフォルト統合としてAWS Config、Amazon GuardDuty、AWS Security Hubのセキュリティスタンダードが自動的に有効化される可能性があります。（出典：AWS公式ドキュメント）
有効化プロセス中に、以下の設定を確認することが推奨されます：
- デフォルトリージョンの選択
- 既存セキュリティサービス（GuardDutyなど）との統合許可
- CloudTrail、AWS Configの自動有効化許可
2. セキュリティスタンダードの選択
Security Hubでは複数のセキュリティスタンダードが提供されており、組織のコンプライアンス要件に応じて有効化するものを選択します。代表的なスタンダードとしては以下が挙げられます。
| スタンダード名 | 対象業界・規制 |
|---|---|
| CIS AWS Foundations Benchmark | 一般向けセキュリティベストプラクティス |
| PCI DSS | 決済カード業界セキュリティ基準 |
| HIPAA | 医療業界データ保護基準 |
| NIST SP 800-53 | 米国政府セキュリティ基準 |
各スタンダードは自動的に有効化された場合でも、マネジメントコンソールの「セキュリティスタンダード」セクションから個別に有効化・無効化できるとされています。
3. 統合パートナー製品の追加
Security Hubは、AWS標準のセキュリティサービスだけでなく、Splunk、Datadog、ServiceNowといったサードパーティ製品との統合にも対応しています。SOAR（Security Orchestration, Automation and Response）プラットフォームや既存のセキュリティ監視ツールとの統合を検討する場合、「統合」セクションから対応製品を検索し、認証情報設定を進めることで連携が可能になるとされています。
コンプライアンス監視の自動化
AWS Config連携による設定監視
Security Hubとの組み合わせでコンプライアンス監視を自動化する場合、AWS Configの設定が不可欠です。AWS Configは、AWSリソースの設定変更を記録し、ポリシー違反を自動検出するサービスとされています。
Security Hubと連携させた場合、以下のリソースの設定が自動監視対象となります：
- S3バケット：パブリックアクセスブロック、暗号化、バージョニング状態
- EC2インスタンス：セキュリティグループ設定、EBS暗号化、ホスト保護機能
- RDSデータベース：暗号化、バックアップ設定、マルチAZ構成
- IAM：パスワードポリシー、MFA設定、未使用認証情報の検出
- Lambda：関数実行ロールの権限最小化、VPC設定
カスタムコンプライアンスルールの作成手順
AWS Configのカスタムルール機能を用いることで、組織固有のセキュリティポリシーに基づく監視が実現できるとされています。カスタムルール作成時の流れとしては以下の通りです。
ステップ1：ルール定義の策定
監視対象リソース、チェック条件、非準拠時のアクション（ログ、アラート、自動修復など）を定義します。
ステップ2：Lambda関数の作成
AWS ConfigのカスタムルールはLambda関数をベースに実装されます。ルール実行時にLambda関数が呼び出され、評価結果（準拠・非準拠）を返す仕組みとなっています。
ステップ3：トリガー設定
リソース作成時・更新時に自動実行するか、定期実行するかを選択します。定期実行の場合は24時間ごと等の周期を指定できるとされています。
EventBridgeによる通知の自動化
Security Hubの検出結果をSlack、メール、PagerDutyといった通知チャネルに自動配信する場合、Amazon EventBridgeの活用が有効とされています。
設定の流れとしては以下の通りです：
- EventBridgeにて新しいルールを作成
- イベントソースとして「AWS Security Hub」を選択
- フィルター条件を設定（例：「重大度が『高』以上の検出結果」）
- ターゲットとしてSNS（メール通知）、Lambda（カスタム処理）、SQS（キューイング）等を指定
この設定により、セキュリティインシデントが検出された直後に関連チームへアラートが配信される仕組みが実現できるとされています。
実運用でのベストプラクティス
複数アカウント管理の統一
エンタープライズ組織では複数のAWSアカウントが使用されることが一般的です。Security Hubの集約アカウント機能を利用することで、各アカウントの検出結果を一元的に監視できるとされています。
集約アカウント設定の手順：
- 監視者アカウント（集約対象）を1つ選定
- 被監視アカウント側でSecurity Hubを有効化
- 集約アカウント側で「組織」機能を有効化し、被監視アカウントの招待・承認を実施
- 集約アカウントのダッシュボードにて全アカウントの検出結果が表示される
検出結果の優先順位付け
Security Hubが検出する結果の件数は膨大になる可能性があります。効率的な対応のため、以下の優先順位付けが推奨されるとされています：
| 重大度 | 対応目安 |
|---|---|
| CRITICAL（重大） | 即座に対応・24時間以内に修復 |
| HIGH（高） | 1週間以内に対応 |
| MEDIUM（中） | 定期レビュー時に対応 |
| LOW（低） | 四半期レビュー時に検討 |
自動修復への活用
Security Hubと連携したAWS Configの自動修復機能により、検出された非準拠状態を自動で解決できるとされています。ただし、自動修復を実装する場合の注意点として以下が挙げられます：
- 自動修復の実行前に必ず企業のセキュリティポリシーで承認を得ること
- 運用ロールの権限に基づき、修復対象リソースを制限すること（過度な権限付与はセキュリティリスク）
- 修復ロールのアクティビティログをCloudTrailで記録し、監査可能にすること
- 修復による機能影響をテスト環境で事前検証すること
定期的なレビューと継続改善
Security Hubの設定は、セキュリティ脅威の進化やコンプライアンス要件の変更に応じて、最低でも月次ベースで見直すことが推奨されるとされています。具体的には以下の項目を確認します：
- 検出結果の増減トレンド
- 新規に有効化可能なセキュリティスタンダード
- カスタムルールのチューニング（誤検知の削減、検出漏れの確認）
- 統合されたセキュリティツールの新機能
よくある課題と対処方法
Security Hubの運用を進める際によく発生する課題としては、以下が挙げられます：
課題1：検出結果が多すぎて対応が追いつかない
セキュリティスタンダードを複数有効化した場合、当初は数千件単位の検出結果が表示される可能性があるとされています。対策としては、段階的な有効化、フィルター機能の活用による重要度の高い項目への集中、カスタムルールの精度向上などが考えられます。
課題2：コストの増加
Security HubはAPIコール数に基づいた従量課金となるため、大規模環境では月額費用が増加する可能性があるとされています。コスト最適化のため、監視対象を必要最小限の範囲に限定する、自動修復の活用により継続的な検査の必要性を低減する等の施策が有効とされています。
課題3：運用チームの負担増加
Security Hubの導入により、セキュリティチームは大量の検出結果への対応が必要になる可能性があります。IaC（Infrastructure as Code）やポリシー自動化を組み合わせることで、人手を要する作業を削減できるとされています。
セキュリティベストプラクティス
Security Hubを安全かつ効果的に運用する上で、以下のベストプラクティスを参考とすることが推奨されます。
- 最小権限原則：Security Hubへのアクセス権を必要最小限のIAMロールに限定する
- ログの保全：CloudTrailによるSecurity Hub操作ログをS3に保存し、改ざんから保護する
- 定期的な監査：Security Hubのダッシュボード設定やルール変更のログを月次でレビューする
- インシデント対応計画の策定：Security Hubで重大なアラートが発生した場合の対応フローを事前に定めておく
- 公式ドキュメントの確認：セキュリティ設定やコンプライアンス要件は定期的に公式ドキュメントを確認し、最新情報に対応すること（出典：AWS Security Hub公式ドキュメント）
まとめ
AWS Security Hubは、クラウドインフラのセキュリティ監視とコンプライアンス自動化を実現する強力なサービスとされています。初期設定からコンプライアンス監視の自動化、実運用での継続改善まで、段階的に導入・運用することで、セキュリティチームの負担を大幅に軽減しながらセキュリティ体制を強化できるとされています。
本記事で解説した設定手順やベストプラクティスを参考に、組織のセキュリティ要件に合わせたカスタマイズを進めることが重要です。ただし、セキュリティ設定やコンプライアンス要件は定期的に変更される可能性があるため、AWS公式ドキュメントで最新情報を確認することが推奨されます。
免責事項
本記事の情報は執筆時点のものです。AWS Security Hubのサービス仕様、料金体系、コンプライアンス基準は予告なく変更される可能性があります。実装・運用に際しましては、必ず公式ドキュメント、セキュリティに関する専門家、組織のセキュリティポリシーをご確認のうえ、ご判断ください。セキュリティ設定に起因する機能停止やインシデント発生に対し、本記事著者は一切の責任を負いません。
本記事はRoute Bloom編集部が各ベンダー公式ドキュメント・エンジニア監修をもとに作成しています。インフラ・クラウド構築は環境により異なります。本番環境への適用前に必ずテストを実施してください。情報の正確性には万全を期していますが、最新情報は各公式ドキュメントをご確認ください。 編集ポリシーはこちら
