CSPMとは

CSPM(Cloud Security Posture Management/クラウドセキュリティ態勢管理)とは、イベントの可視化、監査・監視、脅威検知、ポリシー違反是正の自動化など、クラウド環境全体の構成のミスやセキュリティリスクの特定と修正を自動化する仕組みのことです。

代表的な監視観点

	発見的統制	予防的統制
監視内容	セキュリティイベントをいち早く検知	セキュリティポリシー違反を監査
主要なデータソース	Cloud Trail	AWS Config

AWSにもSecurityHubを使うことで発見的統制や予防的統制を管理することができますが、大量アラートが発生することも多いことが実情です。また、セキュリティイベントという性質上、かんたんに無視できず運用負荷になりがちです。

【問題点】

アラートチューニングに適していない
ログ検索のプラットフォームとの連動に作り込みが必要で、日々のセキュリティイベントの件数の分析などが難しく、件数を減らすためのチューニングが困難です。
独自ルールの設定ができない
AWSのベストプラクティスに則ったルールが適用されますが、社内のルールなど独自ルールを導入しずらく、統制の観点で要求レベルを満たさない場合があります。
アカウントを横断して管理しにくい
このような監査基盤はCCoEなど全社横断の組織が管理することが多く、マルチアカウントの管理が必要となります。

このCSPMをAWSの設定とNewRelicを使って実装してみました。
※一部マスキングしています。

No.	内容
1	セキュリティイベントの件数と内容を日次、週次、月次で表示
2	イベントのログを表示

AWS Organizationsの設定
予防的統制ではAWS Configの設定はAWS Organizationsでガバナンスの設定を行いますが、その部分のIaC化やデプロイで苦労しました。
EventBridgeの連携設定
Configのルールの状態変化を検知するため、EventBrdgeを活用した仕組みを実装しましたが、イベントの特定などで骨が折れました。

それでは皆さん良いクリスマスを！