みなさん、こんにちは！
AWS Security Hubで新しい基準(スタンダード)を有効化した直後にコンソールを開いたら、「スコアはまだ生成中で、あと1299分かかります」と表示されました。
今回は、有効化した直後の画面と、実際に1299分以上経過した後の画面を並べて、検出結果がどれだけ変わったかを淡々と記録します。
はじめに
Security Hubは基準を有効化しても、その瞬間に全リソースのチェックが完了するわけではありません。
評価には時間がかかり、コンソールにも「あと何分で結果が出るか」という目安が表示されます。
- 有効化直後: 「あと1299分」と表示された(約21.6時間)
- 24時間後: 実際にどう変わったかを確認した
検証: 有効化した直後
基準を有効化した直後にコンソールを確認すると、以下の状態でした。
- 「セキュリティスコアを表示できません: The security score is still being generated. The score will be available in 1299 minutes」と表示
- コントロールステータスの内訳: 成功0件・失敗0件・データなし131件・不明0件・無効0件
対象コントロール131件すべてが「データなし」になっており、この時点ではまだ何も評価されていません。
検証: 24時間後
24時間経過した後にコンソールを確認すると、以下の状態でした。
- セキュリティスコア: 79%
- コントロールステータス: 成功438件・失敗118件
「データなし」だったコントロールが、成功・失敗を含む具体的な評価結果に置き換わっています。
検証: Findingsの件数の変化(CLI取得分)
コンソールの表示だけでなく、GetFindings APIでCLI取得したFindingsの件数でも同じ傾向を確認しました。
有効化直後と24時間後を比較すると、以下の通りです。
- 全基準(フルスキャン)
・有効化直後: 6,568件
・24時間後: 7,648件 - CIS AWS Foundations Benchmark v3.0.0のみに絞った場合
・有効化直後: 70件
・24時間後: 396件
全基準・CIS v3.0.0のみに絞った場合のどちらでも、時間経過とともに件数が増えています。
まとめ
Security Hubは、基準を有効化した直後はまだ評価が完了しておらず、検出結果はほとんど出てきません。
評価が完了するまでには、今回のケースでは24時間ほどかかりました。
- 有効化直後にコンソールを見ても、正しい検出結果とは判断できない
- 評価完了までは待ち時間が必要で、その場ですぐに診断結果を得ることはできない
すぐに診断結果が欲しい場合は、CloudShell上でその場に実行できるOSSのCSPMツール(Prowler、Steampipe、Service Screener V2等)の方が向いています。
Security Hubの他の検証結果や、各ツールの導入方法は別記事にまとめているので、あわせてご覧ください。
最後までご覧いただきありがとうございました！