この記事は「2025 Japan AWS Jr. Champions 夏のQiitaリレー」の40日目の記事です。
過去の投稿（リンク集）は 以下からご覧ください！
https://qiita.com/natsumi_a/items/80539843482fed4cd648?utm_campaign=post_article&utm_medium=twitter&utm_source=twitter_share
1.はじめに
本記事の目的
本記事では、前回の 「CNAPP概要編」 で解説したコンセプトを踏まえ、AWS環境におけるCNAPPの必要性と背景を掘り下げます。特にAWS利用者が直面しやすいセキュリティ課題や、CNAPPがそれらをどのように解決へ導くかを整理します。次回予定の 「AWSで考えるCNAPP実装編(2025/08/19投稿予定)」 につながる知識基盤としてご活用ください。
前回（CNAPP概要編）の振り返り
▸CNAPP（Cloud-Native Application Protection Platform） は、クラウドネイティブ環境全体を統合的に守るためのセキュリティプラットフォーム
▸CSPM、CWPP、CIEM、IaCセキュリティ、KSPMなど、従来分断されていた複数領域の機能を統合
▸ガートナーがて提唱するカテゴリであり、クラウド利用拡大に伴うセキュリティ課題の包括的な解決策とされている
※上記は一例です。近年DSPMデータセキュリティなども重要視されており、CNAPPは総称であることを認識お願いします。
2.AWSにおけるCNAPPの必要性
AWS利用環境特有のセキュリティ課題
AWSは豊富なサービスと柔軟なアーキテクチャを提供しますが、その自由度ゆえに以下のような課題が生まれます。
| AWS特有の課題 | 具体例 | CNAPPの対応策 |
|---|---|---|
| 設定ミスの影響範囲が広い | S3バケットの公開、IAM過剰権限 | CSPMによる構成監査・修正提案 |
| マルチアカウント・マルチリージョンの複雑さ | アカウント増加による設定ばらつき | ポリシー統一と一元管理 |
| 動的なリソース増減 | スケールアウトした一時リソースの監視漏れ | リアルタイム検出と自動対応 |
| 責任共有モデルの理解不足 | 利用者の設定漏れ | 可視化と教育支援 |
単独サービス運用の限界と統合化の重要性
AWSはSecurity Hub、Inspector、GuardDutyなどの強力なセキュリティサービスを持っていますが、単独運用では次の限界があります。
▸情報が分散する
サービスごとに異なるダッシュボードや通知設定が必要
▸相互連携の不足
GuardDutyの検知結果をConfigルールやIaCの修正に直接つなげにくい
▸全体像の把握が困難
CSPM領域（構成監査）とCWPP領域（ワークロード保護）が別管理になると、統合的なセキュリティポスチャの評価が難しい
このため、CNAPP製品による一元的な可視化と制御は、AWS利用環境において非常に有効なアプローチとなります。
3.AWSとCNAPPの関係性
AWSネイティブサービスとCNAPPの役割分担
AWSは Security Hub、GuardDuty、Inspector、Macie など、多様なセキュリティサービスを提供しています。これらはそれぞれ特化領域で高い能力を発揮しますが、以下のような課題も存在します。
▸各サービスが独立しており、設定やアラートが分散しやすい
▸マルチアカウント／マルチリージョンでの統合運用が難しい
▸CSPM、CWPP、CIEM などを包括的にカバーする仕組みは限定的
ここで登場するのが CNAPP です。CNAPPは、AWSの既存サービスを「置き換える」のではなく、統合・補完することで全体のセキュリティレベルを引き上げます。
CNAPPが補完するポイント
一元管理と可視化
各AWSサービスの検出結果や設定情報をCNAPPで集約し、ダッシュボードで統合表示。
組織全体のリスク状況を瞬時に把握可能になります。
複数セキュリティ領域の統合カバー
CSPM：AWS環境の設定ミスやコンプライアンス違反検知
CWPP：EC2やコンテナの脆弱性管理
CIEM：IAM権限の最小化や不正権限検出
IaC/KSPM：IaCコードやKubernetes設定の事前チェック
開発～運用までのシームレスなセキュリティ
AWS環境にデプロイする前からセキュリティ検証を行い、運用中も継続的に監視・改善が可能。
補完関係のイメージ
▸AWSサービス：深い専門性を持った個別防御ツール
▸CNAPP：それらを束ね、組織全体のクラウドセキュリティを俯瞰・制御する統合基盤
結果として、AWSの強力なセキュリティ機能を最大限に活かしながら、サイロ化や抜け漏れのリスクを低減できます。
4.AWSサービスで見るCNAPP構成要素
CSPM：AWS Security Hub
CSPM（Cloud Security Posture Management）
クラウド環境の設定ミスやコンプライアンス違反を検出・可視化
AWS Security Hub：複数のAWSサービスやサードパーティ製品の検出結果を統合管理
AWS Security HubはSecurityの要であり2025年大きなアップデートに加えて、機能が追加され続けています。
https://docs.aws.amazon.com/securityhub/latest/userguide/doc-history.html
CWPP：Amazon Inspector / GuardDuty
CWPP（Cloud Workload Protection Platform）
仮想マシンやコンテナなどワークロードの脆弱性やマルウェアを検出
Amazon Inspector：EC2・ECRの脆弱性スキャン
Amazon GuardDuty：不正アクセスや異常挙動の検知
InspectorはSBOMでも利用されます。
SBOMはCNAPPの脆弱性管理やコンプライアンス機能を強化する基盤情報です。
CIEM：IAM Access Analyzer / IAM Identity Center
CIEM（Cloud Infrastructure Entitlement Management）
IAM権限の適正化、不必要な権限の検出
IAM Access Analyzer：過剰権限や外部アクセス可能なリソースを特定
IAM Identity Center：権限付与の一元管理
SecurityHub：直近のアップデートでCIEMの検知まで可能となってきているイメージ
IaCセキュリティ：CloudFormation Guard / cfn-nag
IaCセキュリティ（Infrastructure as Code Security）
コードで定義されたインフラのセキュリティリスクを事前に検出
CloudFormation Guard：テンプレートのポリシー準拠チェック
cfn-nag：CloudFormationテンプレート内のセキュリティリスク検出
AWS Config:リソース以外の状態を継続的にモニタリングし、ポリシーから違反を検出して修復可能
参考：https://aws.amazon.com/jp/blogs/devops/integrating-aws-cloudformation-guard/
KSPM：Amazon EKS + GuardDuty for EKS
KSPM（Kubernetes Security Posture Management）
Kubernetesクラスタの設定や運用のセキュリティを維持
Amazon EKS：AWS提供のマネージドKubernetes
GuardDuty for EKS：K8sの異常挙動検知
DSPM：Amazon Macie
DSPM（Data Security Posture Management）
クラウド上のデータの所在・利用状況を可視化し、機密情報を保護
Amazon Macie：S3内の機密データ検出と分類
AWS Backup Audit Manager：データ保護とバックアップのコンプライアンス監査
5.AWS環境におけるCNAPPアーキテクチャ例
| 構成タイプ | 利点 | 課題 | 規模適性 | マルチクラウド対応 |
|---|---|---|---|---|
| シングルアカウント | シンプル・運用負荷低 | 拡張性不足 | 小規模 | ✕ |
| マルチアカウント | 大規模でも統合管理可 | 権限設計が複雑 | 中〜大規模 | 〇 |
| 外部CNAPP連携 | マルチクラウド統合 | コスト・依存リスク | 中〜大規模 | ◎ |
シングルアカウント構成
AWSアカウントが1つの比較的シンプルな構成
▸AWS Config と Security Hub でCSPMを実現
▸Amazon Inspector と GuardDuty でCWPPをカバー
▸IAM Access Analyzer でCIEM
▸Macie でDSPM
▸IaCチェックに CloudFormation Guard
利点：構成がシンプルで運用負荷が低い
課題：アカウント増加時の拡張性に欠け
マルチアカウント（Organizations）構成
AWS Organizationsで複数アカウントを統合管理
▸AWS Config Aggregator で全アカウントの設定情報を一元化
▸Security Hub を管理アカウントに集約
▸GuardDuty と Inspector を中央管理アカウントで運用
▸IAM Access Analyzer を全アカウントで有効化し、管理アカウントで集約
利点：大規模環境でもポリシーや検出結果を統合的に管理可能
課題：Organizationsの権限設計・委任管理設定が必要
他ツール連携例（サードパーティCNAPP製品）
AWSネイティブサービスと外部CNAPP製品を組み合わせて利用
▸オンボーディングを行う際にIAMアカウントを発行して紐づけを行う。
▸外部CNAPPで複数クラウド（AWS / Azure / GoogleCloud）を統合監視
▸検出結果をAWS Security Hubにフィードバック
利点：マルチクラウド対応、ダッシュボードの統合性向上
課題：連携設定やデータ転送コスト、依存リスク
6.AWSでCNAPPを活用するメリット
AWS環境でCNAPPを導入すると、セキュリティ運用の質と効率が大きく向上します。以下は主なメリットです。
| メリット | 説明 |
|---|---|
| 一元化された可視化と監視 | 複数のAWSサービスやアカウント、リージョンにまたがるリソースをCNAPPで統合管理し、セキュリティ状況を一目で把握可能にする。 |
| インシデント対応スピードの向上 | 脅威検知から対応までのプロセスを統合化し、アラートの優先度付けや自動化対応により迅速な対処を実現。 |
| コンプライアンス対応効率化 | セキュリティポリシーや設定状態を自動的にチェックし、監査レポートやコンプライアンス要件への対応を効率化。 |
7.AWS環境特有の課題と対策
AWSは柔軟性が高く、多数のサービス・リージョンを組み合わせて利用できますが、その分セキュリティ運用に固有の課題も発生します。CNAPPの導入はこれらの課題を軽減しますが、適切な対策設計が不可欠です。
| 課題 | 対策 |
|---|---|
| サービス間の設定整合性 | AWS ConfigやSecurity Hubで設定の一貫性を継続的に監視し、自動修復ルールを適用する。 |
| リージョン間のポリシー統一 | Organizationsのサービスコントロールポリシー(SCP)やIaCテンプレートを活用し、全リージョンで同一のセキュリティ設定を適用する。 |
| コスト管理の難しさ | AWS Cost ExplorerやBudgetsを使い、セキュリティサービスの利用状況とコストを定期的に分析する。 |
| アラート疲れ | GuardDutyやSecurity Hubでアラートの優先度付けと抑制ルールを設定し、重要度の高いアラートに集中できる環境を作る。 |
8.まとめと次回予告
AWSでのCNAPP導入ポイント総括
AWS環境でCNAPPを活用することで、
▸クラウド全体のセキュリティを一元的に可視化・管理
▸複数サービス・リージョン・アカウントにまたがる設定整合性を確保
▸アラートの統合・優先度付けによる運用負荷の軽減
▸コンプライアンスや監査対応の効率化
が可能となります。特にAWS特有の柔軟性と複雑さを併せ持つ環境では、統合的なセキュリティ運用基盤としてCNAPPが大きな価値を発揮します。
次回「AWSで考えるCNAPP実装編」へのつなぎ
次回の「AWSで考えるCNAPP実装編」では、実際のAWSサービス設定例やアーキテクチャ図を交え、実践的な内容に繋げます。