AWSセキュリティサービスの全体像
次の流れで整理する
組織を統制する
↓
アクセス権限を管理する
↓
ネットワークやデータを防御する
↓
操作・構成・通信を記録する
↓
脅威・脆弱性・設定ミスを検知する
↓
Security Hubで情報を集約する
↓
原因や影響範囲を調査する
本記事では、通知や自動修復を行うEventBridge、Lambda、Systems Managerと、監査向けサービスを除き、主要なAWSセキュリティサービスを整理します。
1. 組織・AWSアカウントを統制する
AWS Organizations
Organizationsで重要なのがSCP（Service Control Policy）です。SCPは権限を付与するものではなく、組織内のIAMユーザーやIAMロールが利用できる権限の上限を設定します。
AWS Control Tower
主に次の機能を提供します。
- ランディングゾーンの構築
- AWSアカウントの標準化された払い出し
- ログ保管用アカウントの作成
- セキュリティ管理用アカウントの作成
- 組織全体へのコントロール適用
2. ID・認証・アクセス権限を管理する
AWS IAM
基本的には、長期的なアクセスキーを持つIAMユーザーを増やすのではなく、IAMロールと一時的な認証情報を使用します。ルートユーザーは日常作業に使用せず、MFAを設定して保護します。
AWS IAM Identity Center
社員や開発者が複数のAWSアカウントへログインするためのアクセスを一元管理するサービスです。以前はAWS Single Sign-Onと呼ばれていました。
ユーザーやグループにPermission Setを割り当てることで、アカウントごとに管理者、開発者、参照専用などの権限を設定できます。
IAM Access Analyzer
主な用途は次のとおりです。
- 外部アカウントからアクセス可能なリソースの検出
- パブリックアクセスの検出
- 未使用のIAMロールやアクセスキーの検出
- 未使用のサービス・アクション権限の確認
- CloudTrailの利用履歴を基にしたIAMポリシーの生成
Amazon Cognito
IAM Identity Centerが主に社員やAWS管理者の認証に使われるのに対し、Cognitoはアプリケーションの顧客や会員のログインに使用します。
3. ネットワークとWebアプリケーションを防御する
Security Group
許可ルールのみを設定し、戻りの通信は自動的に許可されます。AWSのネットワークアクセス制御では、基本的にSecurity Groupを中心に設計します。
Network ACL
許可ルールと拒否ルールを設定でき、受信と送信の両方を個別に定義します。Security Groupを補完する防御層として使われます。
AWS WAF
- SQLインジェクション
- クロスサイトスクリプティング
- 悪意のあるBot
- 特定IPアドレスからの通信
- 特定の国や地域からの通信
- 短時間に大量発生するリクエスト
AWS Shield
AWS上のシステムをDDoS攻撃から保護するサービスです。
AWS Network Firewall
Security Groupが個々のリソースへのアクセス制御を担当するのに対し、Network FirewallはVPC間通信やインターネット通信を集中的に検査する場合に向いています。
AWS Firewall Manager
AWS WAF、Shield Advanced、Network Firewall、Security Groupなどを組織全体で統一管理したい場合に利用します。
4. データ・秘密情報・証明書を保護する
AWS KMS
データの暗号化や電子署名に使用する暗号鍵を作成・管理するサービスです。
AWS Secrets Manager
シークレットはKMSを使用して暗号化されます。一部のデータベース認証情報については、自動ローテーションも設定できます。
KMS
＝暗号鍵を管理する
Secrets Manager
＝パスワードやAPIキーを管理する
AWS Certificate Manager
CloudFront、Application Load Balancer、API Gatewayなどと連携し、HTTPS通信を実現します。AWSが発行するパブリック証明書では、証明書の更新も自動化されます。
5. 操作・構成・通信を記録する
AWS CloudTrail
AWSアカウント内で実行されたAPI操作を記録するサービスです。
CloudTrailを見ることで、次の情報を確認できます。
- 誰が実行したか
- どのAPIを実行したか
- いつ実行したか
- どのIPアドレスから実行したか
- 成功したか、失敗したか
AWS Config
AWSリソースの構成状態と変更履歴を記録するサービスです。
例えば、Security Groupがいつ全世界公開になったか、S3バケットの暗号化設定がいつ変更されたか、といった構成の変化を確認できます。
Config Rulesを使用すると、リソースの設定がセキュリティ基準に準拠しているかを継続的に評価できます。
CloudTrailとの違いは次のとおりです。
CloudTrail
＝誰が、どの操作を実行したか
AWS Config
＝リソースの設定が、どのように変化したか
Amazon CloudWatch Logs
CloudTrailがAWS API操作を記録するのに対し、CloudWatch Logsはアプリケーションやシステム内部のログを扱います。
VPC Flow Logs
VPC、サブネット、ネットワークインターフェースを流れるIP通信のメタデータを記録する機能です。
送信元・送信先IP、ポート、プロトコル、許可・拒否などを確認できます。ただし、通信の本文そのものを保存するパケットキャプチャではありません。
6. 脅威・脆弱性・機密情報・設定ミスを検知する
Amazon GuardDuty
CloudTrailイベント、DNSクエリ、ネットワーク通信、S3アクセス、EKS監査ログ、ランタイムイベントなどを分析し、次のような脅威を検出します。
- ルート認証情報の利用
- 不審な場所からのAPI操作
- C&Cサーバーとの通信
- 暗号資産マイニング
- S3データの不審な取得
- EC2・ECS・EKS内の不審なプロセス
Amazon Inspector
EC2、ECRコンテナイメージ、Lambda関数などに存在するソフトウェア脆弱性や、意図しないネットワーク公開を継続的に検出する脆弱性管理サービスです。
Inspector
＝攻撃される可能性がある弱点を検出
GuardDuty
＝攻撃や侵害の兆候を検出
Amazon Macie
個人情報、クレジットカード番号、認証情報などを機械学習とパターンマッチングで検出します。
AWS Security Hub CSPM
例えば、次のような問題を検出します。
- ルートユーザーのMFAが未設定
- S3のパブリックアクセスブロックが無効
- SSHポートが全世界に公開されている
- EBS暗号化が無効
- CloudTrailが適切に設定されていない
7. セキュリティ情報を集約・優先順位付けする
AWS Security Hub
GuardDuty、Inspector、Macie、Security Hub CSPMなどのセキュリティ情報を集約・関連付けし、対応すべき問題の優先順位を判断するサービスです。
例えば、あるEC2について次の問題が検出されたとします。
Security Hub CSPM
→ Security Groupが全世界公開
Inspector
→ Criticalの脆弱性が存在
GuardDuty
→ 不審な外部通信を検出
IAM関連情報
→ 強い権限を持つIAMロールが付与されている
個別のFindingを見るだけでなく、これらを組み合わせることで、「インターネットから到達可能で、脆弱性があり、強い権限も持つ危険なEC2」と判断できます。
現在のSecurity Hubは、複数のセキュリティシグナルを関連付け、重要な問題を優先表示する統合セキュリティサービスとして位置付けられています。
8. セキュリティインシデントを調査する
Amazon Detective
GuardDutyなどで検出された問題について、原因や影響範囲を調査するサービスです。
IAM主体、EC2、IPアドレス、API操作、ネットワーク通信などの関連性を可視化し、次のような調査を支援します。
- いつ不審な活動が始まったか
- どのIAMユーザーやロールが関係したか
- どのリソースが影響を受けたか
- 同じIPアドレスから別の操作がなかったか
GuardDuty
＝事件を発見する
Detective
＝事件の経緯と関係者を調査する
主要サービスの違い
AWSセキュリティサービスの役割は、次のように覚えると整理しやすくなります。
IAM
＝誰が何を実行できるか
Organizations・SCP
＝組織全体で何を禁止するか
CloudTrail
＝誰が何を実行したか
AWS Config
＝リソース設定がどう変わったか
GuardDuty
＝怪しい活動が起きていないか
Inspector
＝ソフトウェアに脆弱性がないか
Macie
＝S3に機密情報が含まれていないか
Security Hub CSPM
＝AWS設定が安全基準を満たしているか
AWS Security Hub
＝複数の問題をまとめて何を優先するか
Detective
＝問題がなぜ起き、どこまで影響したか
Security Lake
＝大量のセキュリティログをどこに集約するか
まとめ
予防：IAM、WAF、Network Firewall、KMS
記録：CloudTrail、Config、CloudWatch Logs
検知：GuardDuty、Inspector、Macie、Security Hub CSPM
集約：AWS Security Hub
調査：Detective、Security Lake
個別のサービス名を暗記するのではなく、「このサービスは予防・記録・検知・集約・調査のどこを担当するのか」という視点で整理することが、AWSセキュリティを体系的に理解する近道です。