Security Hub CSPM で無効化を推奨するコントロール

検出結果のノイズを減らし、使用コストを抑えるために、一部の AWS Security Hub CSPM コントロールを無効化することをお勧めします。

グローバルリソースを使用するコントロール

一部の AWS のサービス は、グローバルリソースをサポートしています。つまり、どの AWS リージョンからでもリソースにアクセスできるということです。AWS Config のコストを節約するために、1 つのリージョンを除くすべてのグローバルリソースの記録を無効にすることができます。ただし、これを行った後、Security Hub CSPM は引き続きコントロールが有効になっているすべてのリージョンでセキュリティチェックを実行し、リージョンごとにアカウントごとのチェック数に基づいて料金を請求します。したがって、Security Hub CSPM での検出結果のノイズを減らし、コストを節約するには、グローバルリソースを記録するリージョン以外のすべてのリージョンで、グローバルリソースが含まれるコントロールを無効にする必要もあります。

コントロールにグローバルリソースが含まれるが、1 つのリージョンでのみ利用可能な場合、そのリージョンでコントロールを無効にすると、基盤となるリソースの検出結果を取得できなくなります。この場合、コントロールを有効にしておくことをお勧めします。クロスリージョン集約を使用する場合、コントロールが利用可能なリージョンは、集約リージョンまたはリンクされたリージョンのいずれかである必要があります。次のコントロールにはグローバルリソースが含まれますが、単一のリージョンでのみ使用できます。

定期的なスケジュールタイプを持つコントロールの場合、課金を防ぐには Security Hub CSPM でコントロールを無効にする必要があります。AWS Config パラメータ includeGlobalResourceTypes を false に設定しても、定期的な Security Hub CSPM コントロールには影響しません。

以下の Security Hub CSPM コントロールは、グローバルリソースを使用します。

CloudTrail ログ記録コントロール

CloudTrail.2 コントロールは、AWS CloudTrail 証跡ログを暗号化するための AWS Key Management Service (AWS KMS) の使用を評価します。集中ログ記録アカウントでこれらの追跡をログ記録する場合、このコントロールはアカウント内および集中ログ記録が行われる AWS リージョン でのみ有効にする必要があります。

中央設定を使用した場合、コントロールの有効化ステータスは、ホームリージョンおよびリンクされたリージョンで統一されます。一部のリージョンでコントロールを無効にして、他のリージョンで有効にすることはできません。この場合は、CloudTrail.2 コントロールからの検出結果を抑制して、検出結果のノイズを低減できます。

CloudWatch アラームコントロール

異常検出で、Amazon CloudWatch アラームの代わりに Amazon GuardDuty を使用したい場合は、CloudWatch アラームに特化した以下のコントロールを無効にすることができます。