はじめに

「AWSの社内標準CSPM(※)ツールとしてどのAWSサービスを案内すべきか。無料のTrusted Advisorは充足しないのか。」という主旨のお問い合わせのご対応で、Security HubとTrusted Advisorの「セキュリティチェック」の機能比較をおこなう機会がありました。
ニッチなのか意外と記事を見つけられなかったので、当時(2023年)の調査結果を現時点の情報で最新化しながら書き記しておきたいと思います。

※CSPM=Cloud Security Posture Management。クラウドセキュリティの状態管理のソリューションの総称であり、クラウドサービスの設定値にセキュリティポリシーやベストプラクティスからの逸脱がないかチェックする機能を持つ。

Security Hubとは

AWS内のセキュリティの状態と、セキュリティ基準およびベストプラクティスに準拠しているかどうかを、包括的に把握できるサービスです。

セキュリティ基準を用いたAWS環境の自動チェック
- AWS基礎セキュリティベストプラクティス、CIS Benchmarkなどのチェック項目群と各リソースの設定状況を比較してPassed/Failed判定をおこなう
  参考: Security Hub 標準のリファレンス
様々なセキュリティサービスのチェック結果の統合ダッシュボード
- Amazon GuardDuty、InspectorなどのAWSサービスや3rd partyのセキュリティサービスをまとめて可視化する
  参考: AWS のサービスと AWS Security Hub との統合
- 複数リージョン・アカウントの結果をまとめて可視化する
  参考: クロスリージョン集約,管理者アカウントおよびメンバーアカウントの管理

Trusted Advisorとは

「コスト最適化」、「パフォーマンス」、「セキュリティ」、「耐障害性」、「サービス制限」「運用上の優秀性」の6つの観点から、利用者のAWS環境をAWSが自動で精査し、推奨設定のお知らせをしてくれるサービスです。

ベストプラクティスを用いた全リージョン無償自動チェック
参考: AWS Trusted Advisor チェックリファレンス
Security Hub AWS基礎ベストプラクティス(耐障害性除く)チェック結果の統合
参考: AWS Security Hub のコントロールを AWS Trusted Advisor で表示する

セキュリティチェック利用の観点でのサービス比較

2024年3月時点の比較表です。注意すべき差異は太字で強調しています。

比較対象	Security Hub	Trusted Advisor
主な用途	設定値チェック(主にセキュリティ) 、複数サービス統合ダッシュボード	設定値チェック（セキュリティ含む6カテゴリ）
サービス種別	リージョナルサービス	グローバルサービス
コスト	有償	無償
サービス利用開始処理	要（Security Hub有効化に加え、チェック開始にはAWS Config、セキュリティ基準の有効化が必要）	不要（自動的にチェック開始）
サポートプランによる機能制限	特になし	デベロッパープラン以下では下記の機能制限あり　•Trusted Advisor標準のチェック項目が限定的(「セキュリティ関連チェック項目数」参照）　•他サービス統合表示不可(「サービス統合表示」参照) 　•他アカウント統合表示不可(「アカウント統合表示」参照) 　•EventBridgeのTrusted Advisor項目ステータス更新イベント作成不可(「検出通知」参照) 　•CLIコマンド利用不可(「検出結果エクスポート」参照)
検出抑制	リソースの「抑制」や項目の「無効」処理が可能	リソース単位での「非表示」処理によって抑制可能
サービス統合表示	GuardDuty、Inspector等多岐参考: AWS のサービスと AWS Security Hub との統合	なし（ビジネスプラン以上のみSecurity Hub、Compute Optimizer統合表示可）
アカウント統合表示	•OrganizationsまたはSecurity Hubの招待機能にて可能 •Organizations管理アカウント以外へのSecurity Hub管理委任可能参考: 管理者アカウントおよびメンバーアカウントの管理	•Organizations管理アカウントのTrusted Advisor組織ビューにて可能（Organizations利用および管理アカウントのビジネスプラン以上が前提） •Organizations管理アカウント以外へのTrusted Advisor管理委任は不可参考: AWS Trusted Advisor の組織ビュー
リージョン統合表示	リージョン集約機能にて可能参考: クロスリージョン集約	グローバルサービスのためデフォルトでリージョン集約可
検出通知	EventBridge、SNSで実装可能（Security Hub有効化リージョン利用）通知設定したアカウントに統合されている検出内容をまとめて通知可能参考: 自動的に送信される結果の EventBridge ルールの設定	•ビジネスプラン以上のみのEventBridge、SNSで実装可能（バージニア利用）参考: Amazon EventBridge を使用した AWS Trusted Advisor チェック結果のモニタリング •無償の週次レポーティング機能あり参考: 通知設定の設定ただしいずれも通知設定したアカウント以外の検出内容は通知されない
検出結果エクスポート	•CSVダウンロード (チェック対象リソースなどの詳細はチェック項目ごとにダウンロードが必要) 参考: コントロールリストのダウンロード •CLI 参考: get-findings	•Excelダウンロード (チェック項目ごとにシートが分かれるため、チェック項目ステータスを一覧化したい際は加工が必要) 参考: 結果のダウンロード •CLI (ビジネスプラン以上のみ可かつコマンド組み合わせ必要) 参考： AWS-CLIでTrusted Advisorのステータスを見たい
チェック項目カテゴリ	AWS基礎セキュリティベストプラクティス (FSBP)の場合、5つの大カテゴリ検出・識別・保護・応答・復旧参考: コントロールのカテゴリ「復旧＞耐障害性」以外はTrusted Advisorセキュリティカテゴリ連携対象となっているため、概ねセキュリティ関連の項目とみなせる参考: AWS Security Hub のコントロールを AWS Trusted Advisor で表示する	6つのカテゴリ　•コスト最適化（デベロッパープラン以下は不可）　•パフォーマンス（デベロッパープラン以下は不可）　•耐障害性（デベロッパープラン以下は不可）　•セキュリティ（デベロッパープラン以下は一部可）　•サービス制限（全サポートプラン可）　•運用上の優秀性（デベロッパープラン以下は不可）参考: AWS Trusted Advisor チェックリファレンス
チェック項目識別子	コントロールID （Trusted Advisorに統合されるとチェックIDもアサインされることがTrusted AdvisorのCLIで確認可能）	チェックID
セキュリティ関連チェック項目数	AWS基礎セキュリティベストプラクティス (FSBP)の場合、248項目（過去情報:2023年3月時点198項目、2022年8月時点134項目) 参考: AWS Foundational Security Best Practices (FSBP) 標準	デベロッパープラン以下：6項目（過去情報:2023年3月・2022年8月時点6項目) ビジネスプラン以上：上記6項目を含んで30項目（過去情報:2023年3月・2022年8月時点20項目) 参考: セキュリティ

おわりに

初期設定不要・無償という手軽さの面ではTrusted Advisorにメリット有ですが、そもそもセキュリティに特化したサービスではないことから、サポートプランによってチェック機能、アカウント統合機能、検出通知機能が大きく制限されるデメリットがあり、セキュリティチェックツールとしてはやはりSecurity Hubに軍配が上がります。

また、ビジネスプラン以上のサポートを保有しTrusted Advisorのフル機能（Security Hubのチェック結果取込含む）が利用可能になっている状況においても、管理委任不可・通知集約不可といったアカウント統合機能の自由度の低さがネックになるため、CSPM運用を考える際にはマルチアカウント管理をおこないやすいSecurity Hubをメイン利用していくことが第一選択肢となりそうです。
ご覧くださった方にとって少しでもご参考になれば幸いです。