Security Hub CSPM の有効化 - AWS Security Hub
必要なアクセス許可を確認するOrganizations 統合による Security Hub CSPM の有効化Security Hub CSPM を手動で有効にする次のステップ: 姿勢管理と統合

翻訳は機械翻訳により提供されています。提供された翻訳内容と英語版の間で齟齬、不一致または矛盾がある場合、英語版が優先します。

Security Hub CSPM の有効化

Security Hub Cloud Security Posture Management (CSPM) AWS を有効にするには、 AWS Organizations と統合するか、手動で 2 つの方法があります。

マルチアカウントおよびマルチリージョン環境では、Organizations との統合を強くお勧めします。スタンドアロンアカウントがある場合は、Security Hub CSPM を手動で設定する必要があります。

必要なアクセス許可を確認する

アマゾン ウェブ サービス (AWS) にサインアップしたら、Security Hub CSPM がその機能を使用できるようにする必要があります。Security Hub CSPM を有効にするには、まず Security Hub CSPM コンソールと API オペレーションへのアクセスを許可するアクセス許可を設定する必要があります。これを行う AWS には、 AWS Identity and Access Management (IAM) を使用して というマネージドポリシーを AWS IAM ID AWSSecurityHubFullAccessにアタッチします。

Organizations 統合を通じて Security Hub CSPM を有効にして管理するには、 という AWS 管理ポリシーもアタッチする必要がありますAWSSecurityHubOrganizationsAccess。

詳細については、「AWS Security Hub の マネージドポリシー」を参照してください。

Organizations 統合による Security Hub CSPM の有効化

で Security Hub CSPM の使用を開始するには AWS Organizations、組織の AWS Organizations 管理アカウントが、組織の委任 Security Hub CSPM 管理者アカウントとしてアカウントを指定します。Security Hub CSPM は、現在のリージョンの委任管理者アカウントで自動的に有効になります。

ご希望の方法を選択し、手順に従って委任管理者を指定します。

Security Hub CSPM console
オンボーディング時に委任 Security Hub CSPM 管理者を指定するには

  1. https://console.aws.amazon.com/securityhub/ で AWS Security Hub Cloud Security Posture Management (CSPM) コンソールを開きます。

  2. 「Security Hub CSPM に移動」を選択します。組織の管理アカウントにサインインするよう求めるメッセージが表示されます。

  3. [委任された管理者アカウント] セクションの [委任された管理者を指定] ページで、委任された管理者アカウントを指定します。委任された管理者には、他の AWS セキュリティおよびコンプライアンスサービスと同一の設定を選択することをお勧めします。

  4. [委任された管理者を設定] を選択します。

Security Hub CSPM API

Organizations 管理アカウントから EnableOrganizationAdminAccount API を呼び出します。Security Hub CSPM 委任管理者アカウントの AWS アカウント ID を指定します。

AWS CLI

Organizations 管理アカウントから enable-organization-admin-account コマンドを実行します。Security Hub CSPM 委任管理者アカウントの AWS アカウント ID を指定します。

コマンドの例:

aws securityhub enable-organization-admin-account --admin-account-id 777788889999

Organizations との統合の詳細については、「Security Hub CSPM と の統合 AWS Organizations」を参照してください。

中央設定

Security Hub CSPM と Organizations を統合すると、中央設定と呼ばれる機能を使用して組織の Security Hub CSPM を設定および管理できます。管理者が組織のセキュリティ範囲をカスタマイズできるため、中央設定を使用することを強くお勧めします。必要に応じて、委任管理者はメンバーアカウントによる独自のセキュリティカバレッジの設定を許可できます。

中央設定を使用すると、委任管理者はアカウント、OUs、および 間で Security Hub CSPM を設定できます AWS リージョン。委任管理者は、設定ポリシーを作成して Security Hub CSPM を設定します。設定ポリシー内では、以下の設定を指定できます。

  • Security Hub CSPM が有効か無効か

  • どのセキュリティ基準を有効または無効にするか

  • どのセキュリティコントロールを有効または無効にするか

  • コントロール選択用のパラメータをカスタマイズするかどうか

委任管理者は、組織全体を対象とする単一の設定ポリシーを作成することも、さまざまなアカウントや OU に異なる設定ポリシーを作成することもできます。例えば、テストアカウントと本稼働アカウントでは異なる設定ポリシーを使用できます。

設定ポリシーを使用するメンバーアカウントと OU は一元管理され、委任管理者のみが設定できます。委任管理者は、特定のメンバーアカウントと OU をセルフマネージド型として指定して、メンバーがリージョン単位で独自の設定を行えるようにすることができます。

中央設定を使用しない場合は、主にアカウントとリージョンごとに Security Hub CSPM を個別に設定する必要があります。これはローカル設定と呼ばれます。ローカル設定では、委任管理者は、現在のリージョンの新しい組織アカウントで Security Hub CSPM と制限された一連のセキュリティ標準を自動的に有効にできます。ローカル設定は、既存の組織アカウントや、現在のリージョン以外のリージョンには適用されません。また、ローカル設定では設定ポリシーの使用もサポートされていません。

Security Hub CSPM を手動で有効にする

スタンドアロンアカウントがある場合、または と統合していない場合は、Security Hub CSPM を手動で有効にする必要があります AWS Organizations。スタンドアロンアカウントは と統合できず AWS Organizations 、手動有効化を使用する必要があります。

Security Hub CSPM を手動で有効にする場合は、Security Hub CSPM 管理者アカウントを指定し、他のアカウントをメンバーアカウントに招待します。管理者とメンバーの関係は、メンバーアカウント候補が招待を受け入れたときに確立されます。

任意の方法を選択し、手順に従って Security Hub CSPM を有効にします。コンソールから Security Hub CSPM を有効にすると、サポートされているセキュリティ標準を有効にするオプションもあります。

Security Hub CSPM console

  1. https://console.aws.amazon.com/securityhub/ で AWS Security Hub Cloud Security Posture Management (CSPM) コンソールを開きます。

  2. Security Hub CSPM コンソールを初めて開くときは、「Security Hub CSPM に移動」を選択します。

  3. ウェルカムページには、Security Standards セクションに、Security Hub CSPM がサポートするセキュリティ標準が記載されています。

    基準のチェックボックスを選択して有効にします。チェックボックスをオフにすると無効になります。

    標準またはその個々のコントロールは、いつでも有効または無効にできます。セキュリティ標準の管理の詳細については、「Security Hub CSPM のセキュリティ標準について」を参照してください。

  4. [Enable Security Hub] (Security Hub の有効化) を選択します。

Security Hub CSPM API

EnableSecurityHub API を呼び出します。API から Security Hub CSPM を有効にすると、次のデフォルトのセキュリティ標準が自動的に有効になります。

  • AWS 基本的なセキュリティのベストプラクティス

  • Center for Internet Security (CIS) AWS Foundations Benchmark v1.2.0

これらの標準を有効にしない場合は、EnableDefaultStandards を false に設定します。

また Tags パラメータを使用して、ハブリソースにタグ値を割り当てることもできます。

AWS CLI

enable-security-hub コマンドを実行します。デフォルトの標準を有効にするには、--enable-default-standards を含めます。デフォルトの標準を有効にしない場合は、--no-enable-default-standards を含めます。デフォルトのセキュリティ基準は次のとおりです。

  • AWS 基本的なセキュリティのベストプラクティス

  • Center for Internet Security (CIS) AWS Foundations Benchmark v1.2.0

aws securityhub enable-security-hub [--tags <tag values>] [--enable-default-standards | --no-enable-default-standards]

例

aws securityhub enable-security-hub --enable-default-standards --tags '{"Department": "Security"}'

マルチアカウント有効化スクリプト

注記

このスクリプトの代わりに、中央設定を使用して、複数のアカウントとリージョンで Security Hub CSPM を有効にして設定することをお勧めします。

GitHub の Security Hub CSPM マルチアカウント有効化スクリプトを使用すると、アカウントとリージョン間で Security Hub CSPM を有効にできます。スクリプトを使用することで、メンバーアカウントへの招待の送信と AWS Configの有効化のプロセスも自動化されます。

このスクリプトは、すべてのリージョンで、グローバル AWS Config リソースを含むすべてのリソースのリソース記録を自動的に有効にします。グローバルリソースの記録を 1 つのリージョンに制限するものではありません。コストを削減するには、グローバルリソースを 1 つのリージョンにのみ記録することをお勧めします。中央設定またはクロスリージョン集約を使用する場合、これはホームリージョンである必要があります。詳細については、「でのリソースの記録 AWS Config」を参照してください。

アカウントとリージョン全体で Security Hub CSPM を無効にするための対応するスクリプトがあります。

次のステップ: 姿勢管理と統合

Security Hub CSPM を有効にしたら、セキュリティ標準とコントロールを有効にしてセキュリティ体制をモニタリングすることをお勧めします。コントロールを有効にすると、Security Hub CSPM はセキュリティチェックの実行と、 AWS 環境の設定ミスの検出に役立つコントロールの検出結果の生成を開始します。コントロールの検出結果を受け取るには、Security Hub CSPM AWS Config の を有効にして設定する必要があります。詳細については、「Security Hub CSPM AWS Config の有効化と設定」を参照してください。

Security Hub CSPM を有効にした後、Security Hub CSPM と他の AWS のサービス およびサードパーティーソリューションとの統合を活用して、Security Hub CSPM で検出結果を確認することもできます。Security Hub CSPM は、さまざまなソースから結果を集約し、一貫した形式で取り込みます。詳細については、「Security Hub CSPM の統合について」を参照してください。