Hubは、セキュリティアラートを一元的に管理、表示できるサービスです。業界標準の基準に沿ってAWS環境を自動でチェックできます。Hubの機能やユースケースについて、ご紹介します。Hubは対応するAWSサービスのアラートを集約管理できます。Macieに対応しています。対応するパートナー製品についても集約管理できます。Hubは、パブリックプレビュー中で、プレビュー期間は無料で利用できます。GuardDutyは、AWS上の異常な振る舞いを検出するサービスです。CloudTrail、VPCフローログ、DNSログをデータソースに利用します。Inspectorは、プラットフォーム診断を行います。CVEの脆弱性などを確認できます。エージェントをEC2にインストールして利用します。S3バケット内の機密データを自動的に検出、分類、保護するサービスです。Hubを有効化すると集約管理の様子を確認できます。Hubの機能やユースケースをご紹介します。業界標準のコンプライアンスチェックができるStandardsStandardsは一般的なコンプライアンスにAWS環境が沿っているか自動でチェックする機能です。Benchmarkでチェックできます。チェックした内容は一覧で確認できます。指摘項目を選択すると、詳細が表示されます。"Remediation"のリンクから、詳細が記載されたユーザーガイドに飛ぶことができます。Rulesで行われます。Configコンソールを見ると、ルールが作成されています。Hubで管理されるセキュリティ上の問題です。GuardDutyの結果のみ表示フィルターを追加して、見たい情報だけ表示できます。GuardDuty」でGuardDutyの情報だけ表示しました。byで集計することも可能です。AWSアカウントでグルーピングすれば、アカウントごとの問題の数を表示できます。以下の例では73の問題が見つかりました。Insightを選択すると、後述のカスタムインサイトを作成できます。Findingsを集約したInsightsInsightsは、Findingsを集約したものです。用意されたマネージドインサイトと、ユーザーが作成できるスタムインサイトがあります。findings」を選択します。多くのFindingsに該当するAWSリソースを確認できます。StandardsやGuardDuty、Inspectorの指摘事項がわかりやすく表示されています。AWSアカウントやリソースタイプごとの集計も、大規模な環境では役立ちそうです。GuardDutyの指摘事項は、サンプルイベントで発生させたものです。実際のアラートではないので、アーカイブしてみます。「arn:aws:ec2:ap-northeast-1:account-id:instance/i-99999999」を選択し、表示される内容にチェックします。Actions>Archiveでアーカイブできます。カスタムインサイトFindingsの内容を、インサイトとして登録できます。以下の例では、GuardDutyでアクティブなFindingをAWSアカウントごとにグルーピングしました。マネージドインサイトで不足する場合は、追加すると良さそうです。Hubに連携するサービスのステータスなどを確認できます。SettingsAccounts複数アカウントの管理を行う場合、設定します。セキュリティ管理部門が、他のAWSアカウントを追加するような使い方になるかと思います。本番、開発、ステージングなどAWSアカウントを複数利用するようなケースでは、本番アカウントに集約しても良いかと思います。actions前述でActions>Archiveでアーカイブしました。カスタムアクションを使うと、ユーザーが定義したアクションを実行できます。APIを実行したり、SNSで通知できます。具体的には、GuardDutyでマルウェア感染を検知したEC2のセキュリティグループを変更し隔離したり、削除するといった対応ができます。アラートが発生した場合に、セキュリティオペレーションセンターが一次対応するといった用途が想像できました。Hubに対応する製品の連携を行います。Usage使用状況を表示します。Hubの無効化などを行います。Hubのユースケースここまでで、GuardDuty、Inspector、Macie、CISベンチマーク、対応するセキュリティ製品のアラートを集約管理できる機能をお伝えできたと思います。ユースケースとしては上記のサービスを利用し、セキュリティアラートを一括管理したい場合に適しています。アカウントにまたがって集約できるため、セキュリティ管理部門が利用部門の状況をチェックするといった用途にも適しています。カスタムアクションや運用方針を整備すれば、セキュリティオペレーションセンターのような使い方もできるかと思います。Hubで出来ないことですが、アラートに担当者をアサインしたり、調査状況を記載するといったことが出来ません。具体的には、GuardDutyでイベントが発生したので、チケットを発行し山田さんをアサインして、調査状況をまとめてもらうといった形です。必要な場合は、Backlogや、Jiraなどのサービスを利用すると良いかと思います。リモート】クラスメソッドの会社説明会を開催しますクラスメソッドでは、AWS・AI・ビッグデータ・モバイルなどの技術職や営業のメンバーとして一緒にお仕事をする仲間を大募集しています。#cmdevio新型コロナウイルスの感染拡大を受け、本イベントを延期させていただくことになりました(開催時期未定)。お申し込みいただいた皆様には大変申し訳ございませんが、何卒ご理解いただけますようよろしくお願いいたします。AWSについてライトに色んな情報交換をしましょう。カフェ店長のオカノです。今日はオフィスに用があるので、通勤ラッシュを避けて出社しました。この子は新メンバーのさめくんです。在宅勤務が推奨されているのでオフィスが閑散としており、すこしさみしそうです。使いたいときの注意点を書きました。本が出ていたので読んでみたところよかったので紹介させていただきます。