AWS Security Incident Response 設定の検証

オンボーディングが完了したら、実際のセキュリティイベントが発生する前に、登録、検出ソース、AWS Identity and Access Management (IAM) アクセス許可、封じ込め、通知が正しく設定されていることを検証できます。このセクションでは、AWS Management Consoleと AWS CLI の両方を使用したステップバイステップの検証手順について説明します。

検証を行う前の確認

Security Incident Response の設定を検証するための前提条件

これらの検証ステップを完了するには、次のものがあることを確認してください。

ログの準備状況を確認する

AWS Security Incident Response は、ユーザーに代わってログソースの有効化を行いません。調査中、エンジニアは環境内に既に存在するログに依存します。セットアップを検証する前に、対象となるすべてのアカウントと AWS リージョンで次のログが有効になっていることを確認します。これらのログがないと、調査中にセキュリティインシデント対応エンジニアが確認できる情報が制限されます。続行する前に有効にしてください。

GuardDuty が有効になっていることを確認する

次のコマンドを使用して、Amazon GuardDuty がアカウントでアクティブであることを確認します。

aws guardduty list-detectors

空でないレスポンスは、現在の AWS リージョンで GuardDuty が有効になっていることを示します。このステップをアクティブな各リージョンに繰り返すか、GuardDuty 委任管理者アカウントを使用して組織全体を検証します。

ステップ 1: 登録とメンバーシップを確認する

AWS Security Incident Response コンソールを使用する場合

AWS CLI を使用する場合

委任管理者アカウントから次のコマンドを実行します。

aws security-ir list-memberships

上記のコマンドはメンバーシップ ID とステータスを返します。

インシデント対応チーム設定を始めとする完全なメンバーシップの詳細を取得するには、次のコマンドを実行します。

aws security-ir get-membership --membership-id membership-id

コマンド出力を使用して次の情報を確認します。

委任管理者を検証する

正しいアカウントが Security Incident Response の委任管理者として登録されていることを確認するには、次のコマンドを実行します。

aws organizations list-delegated-administrators \
  --service-principal security-ir.amazonaws.com

ステップ 2: 検出ソースとトリアージを検証する

AWS Security Incident Response は、Security Hub CSPM から GuardDuty およびサードパーティーツールのセキュリティ検出結果をモニタリングします。このサービスは、サービスにリンクされたロールを使用して、オンボーディング時にアカウントにデプロイされた Amazon EventBridge ルールを介して検出結果を取り込みます。

トリアージサービスにリンクされたロールを確認する

AWSServiceRoleForSecurityIncidentResponse_Triage サービスにリンクされたロールは、管理アカウントと対象範囲内のすべてのメンバーアカウントに存在する必要があります。

確認するには、管理アカウントと対象範囲内のメンバーアカウントで次のコマンドを実行します。

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse_Triage

ロールが存在する場合、応答が正常に返されます。NoSuchEntity エラーが発生した場合は、次のいずれかの操作を行います。

サービスにリンクされたプライマリロールを確認する

AWSServiceRoleForSecurityIncidentResponse ロールは、委任管理者アカウントにも存在する必要があります。ロールが存在することを確認するには、次のコマンドを実行します。

aws iam get-role --role-name AWSServiceRoleForSecurityIncidentResponse

プロアクティブレスポンスと EventBridge ルールを検証する

AWS Security Incident Response コンソールで、プロアクティブレスポンスが有効として表示されることを確認します。有効な場合、サービスは以下を実行します。

EventBridge ルールがメンバーアカウントにデプロイされていることを確認する

EventBridge ルールがメンバーアカウントにデプロイされていることを確認するには、次の手順を実行します。

ルールがない場合は、Security Incident Response コンソールからプロアクティブレスポンスのセットアップを再実行するか、AWS サポート に連絡してください。

サードパーティーの統合を検証する (該当する場合)

サードパーティーの検出ツール (CrowdStrike Falcon、Trend Micro Cloud One、Fortinet Lacework FortiCNAPP など) を使用する場合は、調査結果が Security Hub CSPM を経由していることを確認します。

ステップ 3: 自動検出結果パイプラインを検証する

このステップでは、EventBridge パイプラインがアクティブであること、および検出結果が自動トリアージに達することを確認します。

GuardDuty サンプルの検出結果について

GuardDuty の組み込みの [結果サンプルの生成] 機能は、サンプルとしてマークされた検出結果を生成します。自動トリアージは、サンプルの検出結果をフィルタリングしてノイズを防止します。検出結果はトリアージパイプライン全体を通過せず、Security Incident Response 設定の検証には使用できません。このステップには使用しないでください。

GuardDuty テストドメインで検証する

GuardDuty ドキュメントは、実際のセキュリティイベントを必要とせずに実際の検出結果を生成するテストドメイン (guarddutyc2activityb.com) を提供します。対象アカウントの Amazon EC2 インスタンスからこのドメインをクエリすると、Security Incident Response が取り込んで処理する検出結果が生成されます。

テスト検出結果を生成するには:

予想されること:

ステップ 4: 通知とインシデント対応チームを検証する

インシデント対応チームを検証する

Security Incident Response コンソールで、設定したインシデント対応チームメンバーを確認します。ケースが作成されると、すぐに各メンバーに E メール通知が送信されます。

または、次のコマンドで AWS CLI を使用して検証します。

aws security-ir get-membership --membership-id membership-id

以下を確認します。

ケースウォッチャーの概要

ケースウォッチャーは、特定のケースを表示するアクセス許可が付与されているステークホルダーです。主要な詳細を以下に示します。

このケースごとのスコープは、関連する特定のケースのみを表示する必要があるマネージド検出と対応 (MDR) パートナーやサードパーティーの調査チームなどの外部当事者にアクセスを付与する場合に特に重要です。

テストケースで通知配信を検証する

エンドツーエンドの通知フローを検証する最も効果的な方法は、事後対応 (セルフマネージド) テストケースを作成することです。

ケース通知に期待すること

ケースが (サービスによってプロアクティブに、またはチームによってリアクティブに) 作成されると、設定されたすべてのインシデント対応チームメンバーにケースの詳細を含む E メール通知が送信されます。

EventBridge 統合を検証する (設定されている場合)

ケースイベントをサードパーティープラットフォーム (ServiceNow、Jira、Slack、PagerDuty など) にルーティングするように EventBridge を設定した場合は、テストケースがそれらのシステムで予期される通知をトリガーすることを確認します。

ステップ 5: 封じ込めの準備状況を確認する (オプション)

封じ込めを有効にしていない場合

ここで検証するものはありません。Security Incident Response は、セキュリティイベント中のガイダンスと調査を提供しますが、明示的に承認しない限り、自動封じ込めアクションを実行しません。

封じ込めを有効にしていない場合

コンソールで封じ込めステータスを確認します。封じ込めアクションが [承認済み] として表示されているかどうかを確認します。サポートされている封じ込めアクションには、以下に対するランブックが含まれます。

CloudFormation StackSet がデプロイされていることを確認します。封じ込めには、対象アカウントに IAM ロール (AWSSecurityIncidentResponseContainment と AWSSecurityIncidentResponseContainmentExecution) が必要です。

StackSet がデプロイされていない場合、コンソールでの封じ込め承認では、実際の封じ込めアクションは実行されません。

封じ込め設定を確認します。Security Incident Response は、次の 3 つの封じ込めレベルをサポートしています。

設定を送信または更新するには、[Technical: Security Incident Response Service / Other] の AWS サポートケースタイプでケースを作成します。

EC2 トリアージが必要な場合: [EC2 Triage による封じ込め] CloudFormation テンプレートをデプロイします。これにより、セキュリティインシデント対応エンジニアが AWS Systems Manager を使用して Amazon EC2 インスタンスから調査データを収集することが許可されます。

ステップ 6: 進行中のオペレーションを確認する

初期検証が完了したら、これらのインジケータを使用して、Security Incident Response が期待どおりに継続的に動作していることを確認します。

ケースがないのは正常です

Security Incident Response は、自動トリアージが人間による調査を必要とするアクティビティを特定した場合にのみ、プロアクティブケースを作成します。トリアージで検出結果が良性であると判断されると、ケースの作成やチームへの連絡は行われずに、検出結果がアーカイブされます。開いているケースがなく、アーカイブされた GuardDuty の検出結果のフローが一貫しているデプロイは、意図したとおりに動作しています。

環境が数日間アクティブになった後にケースとアーカイブされた検出結果が両方とも表示されない場合は、パイプラインが接続されていない可能性があります。ステップ 2 と 3 を確認してください。

ヘルスシグナルとしてアーカイブされた検出結果と抑制ルール

Security Incident Response は検出結果を経時的に処理するため、2 つの観測可能なアーティファクトが作成されます。

抑制ルールが作成されると、インシデント対応チームに通知されます。ルールが誤って作成された場合は、AWS サポート に連絡してロールバックをリクエストしてください。アーカイブされた検出結果は GuardDuty に 90 日間保持されます。

月次アクティビティレポート

Security Incident Response は、処理された検出結果、トリアージの結果、開かれたケースをまとめた月次アクティビティレポートをインシデント対応チームに送信します。最初の完全な暦月が経過してもチームがレポートを受け取っていない場合は、インシデント対応チームのメンバーがコミュニケーションを有効にしていることを確認してください。月次レポートに関連するその他の問題については、アカウントチームに問い合わせるか、[Technical: Security Incident Response Service / Other] のケースタイプでサポートケースを開き、次の情報を含めてください。

セキュリティインシデント対応エンジニアに期待すること

ユーザーが AWS でサポートされるケースを作成するか、サービスがプロアクティブにケースを作成すると、セキュリティインシデント対応エンジニアが 15 分以内に新しいケースを確認します。この 15 分間の確認 SLO は、アクティブなセキュリティイベントと調査の両方について、AWS がサポートするすべてのケースタイプに適用されます。最初の確認では、ケースがレビュー中であることを確認します。完全な評価タイムラインは、ケースの重要度と複雑さによって異なる場合があります。

プロアクティブケース (トリアージサービスがセキュリティ上の問題を確認したときに自動作成されるケース) の場合、自動トリアージが問題を確認した後、サービスがケースを作成し、ケースが開かれるとインシデント対応チームに通知されます。

検証チェックリスト

次のチェックリストを使用して、設定が完了したことを確認します。

課金の検証

エンタープライズサポートと Unified Operations のお客様: Security Incident Response は、サポートプランの一部として含まれます。追加コストは発生しません。AWS Cost Explorer または AWS Cost and Usage Report には Security Incident Response の料金は表示されません。

その他のすべてのお客様: 料金は取り込まれた検出結果の数に基づきます。1 か月あたり最初の 10,000 件の検出結果は無料です。詳細については、「AWS Security Incident Response 料金表」を参照してください。

トラブルシューティング

関連リソース