どんな更新か
2026年8月31日、AWSは Automated Security Response on AWS（ASR） の更新を発表しました（GitHubではv4.0.0、2026年8月26日）。ASRはSecurity Hubの検知結果を受けて、SSM Automationで設定を直すAWS Solutionsです。マネージドサービスではなく、自分のアカウントにCloudFormationでデプロイして使います。
今回の主な追加は4つです。
- AI Toolkit：IDEのAIアシスタントに渡す指示プロンプト。ASRの型に沿った修復ランブック、IAMロール、CDKを書く手伝いをする
- Inspector・GuardDuty・Macie対応：ただし各サービス1種類の検知結果から
- リソースフィルター：アカウント、OU、ARNパターン、タグで自動修復の対象を絞る
- 通知の拡張：メール、Slack、Jira、ServiceNow。修復期限やIaCの修正例も付けられる
勘違いしやすいところ
| よくある誤解 | 実際 |
|---|---|
| AIが本番環境をその場で直す | AIが関わるのは開発工程だけ。本番で動くのはレビューしてデプロイしたランブック |
| GuardDutyの検知を全部直せる | 対応は GuardDuty.IAMUser の封じ込めなど1種類。原因の解決は人の仕事 |
| 修復期限は目安の表示だけ |
enforceDeadline を有効にすると、期限切れの検知結果を人の介入なしに修復する |
| 修復は元に戻せる | 基本は手作業で戻す。IAMユーザーの封じ込めだけWeb UIからロールバックできる |
初心者が最初に押さえたいこと
- 自動修復を有効にすると、ASRをデプロイした全アカウント・リージョンの該当リソースすべてが対象になる
- 自動修復の再試行は1件あたり最大3回。止まったら
RemediationRetryCapReachedメトリクスが出る - 「ランブックが成功した」と「検知結果が解消した」は別。Configの再評価後に確認する
- 本番の設定だけ直すと、次のIaCのデプロイで元に戻る。コード側も直す
記事では、修復操作ごとの「自動にするか、人が承認するか」の判断表と、AIが生成した修復コードのレビュー観点をまとめています。
※2026年10月時点の公開情報に基づきます。筆者はASRをデプロイしておらず、構成と判断表は設計例です。