サービスマネージドスタンダード： AWS Control Tower

このセクションでは、サービスマネージドスタンダードについて説明します AWS Control Tower。

サービスマネージドスタンダードとは AWS Control Tower

この標準は、 AWS Security Hub CSPM および のユーザー向けに設計されています AWS Control Tower。これにより、 AWS Control Tower サービスの Security Hub CSPM の検出コントロール AWS Control Tower とともに のプロアクティブコントロールを設定できます。

プロアクティブコントロールは、ポリシー違反や設定ミスにつながる可能性のあるアクションにフラグを付けるため、 がコンプライアンス AWS アカウント を維持するのに役立ちます。検出コントロールは、 AWS アカウント内のリソースのコンプライアンス違反 (設定ミスなど) を検出します。 AWS 環境のプロアクティブコントロールと検出コントロールを有効にすることで、開発のさまざまな段階でセキュリティ体制を強化できます。

Security Hub CSPM コンソールと API では、Service-Managed Standard: AWS Control Tower と他の Security Hub CSPM 標準を表示できます。

標準の作成

この標準は、 で標準を作成する場合にのみ使用できます AWS Control Tower。 AWS Control Tower は、次のいずれかの方法を使用して該当するコントロールを最初に有効にするときに標準を作成します。

Security Hub CSPM コントロールは、 AWS Control Tower コンソールで SH.ControlID (SH.CodeBuild.1 など) として識別されます。

標準を作成するときに、Security Hub CSPM をまだ有効にしていない場合、 は Security Hub CSPM AWS Control Tower も有効にします。

を設定していない場合 AWS Control Tower、Security Hub CSPM コンソール、Security Hub CSPM API、または でこの標準を表示またはアクセスすることはできません AWS CLI。をセットアップした場合でも AWS Control Tower、前述の方法のいずれか AWS Control Tower を使用して で標準を作成しないと、Security Hub CSPM でこの標準を表示またはアクセスできません。

この標準は、 を含む AWS リージョンAWS Control Tower が利用可能な でのみ使用できます AWS GovCloud (US)。

標準のコントロールの有効化と無効化

AWS Control Tower コンソールで標準を作成したら、両方のサービスで標準とその使用可能なコントロールを表示できます。

最初に標準を作成すると、これに自動的に有効化されたコントロールはありません。さらに、Security Hub CSPM が新しいコントロールを追加すると、サービスマネージドスタンダード: に対して自動的に有効になるわけではありません AWS Control Tower。次のいずれかの方法 AWS Control Tower を使用して、 で標準のコントロールを有効または無効にする必要があります。

でコントロールの有効化ステータスを変更すると AWS Control Tower、その変更は Security Hub CSPM にも反映されます。

ただし、Security Hub CSPM で有効になっているコントロールを無効にすると、コントロールドリフト AWS Control Tower が発生します。のコントロールステータスは として AWS Control Tower 表示されますDrifted。このドリフトを解決するには、 AWS Control Tower コンソールで OU の再登録を選択するか、前述の方法のいずれか AWS Control Tower を使用して でコントロールを無効化および再有効化します。

で有効化アクションと無効化アクションを完了すると、コントロールドリフトを回避 AWS Control Tower できます。

でコントロールを有効または無効にすると AWS Control Tower、アクションはアカウントとリージョンに適用されます。Security Hub CSPM でコントロールを有効または無効にすると (この標準では推奨されません）、アクションは現在のアカウントとリージョンにのみ適用されます。

有効化ステータスとコントロールステータスの表示

次のいずれかの方法を使用して、コントロールの有効化ステータスを表示できます。

で無効にしたコントロール AWS Control Tower は、Security Hub CSPM Disabledでそのコントロールを明示的に有効にしない限り、Security Hub CSPM で有効化ステータスが になります。

Security Hub CSPM は、コントロールの検出結果のワークフローステータスとコンプライアンスステータスに基づいてコントロールステータスを計算します。有効化ステータスとコントロールステータスの詳細については、「Security Hub CSPM でのコントロールの詳細の確認」 を参照してください。

コントロールのステータスに基づいて、Security Hub CSPM はサービスマネージドスタンダードのセキュリティスコアを計算します AWS Control Tower。このスコアは Security Hub CSPM でのみ使用できます。さらに、コントロールの検出結果は Security Hub CSPM でのみ表示できます。標準のセキュリティスコアとコントロールの検出結果は では使用できません AWS Control Tower。

標準を削除する

次のいずれかの方法を使用して、該当するすべてのコントロールを無効にする AWS Control Tower ことで、 でこの標準を削除できます。

すべてのコントロールを無効にすることにより、 AWS Control Tower のすべてのマネージドアカウントと管理対象リージョンの標準が削除されます。で標準を削除すると AWS Control Tower 、Security Hub CSPM コンソールの標準ページから削除され、Security Hub CSPM API または を使用してアクセスできなくなります AWS CLI。

Security Hub CSPM サービスを無効にすると、Service-Managed Standard: AWS Control Tower および有効にしたその他の標準が削除されます。

サービスマネージドスタンダードの検出結果フィールド形式： AWS Control Tower

Service-Managed Standard: を作成し、そのコントロールを有効にする AWS Control Tower と、Security Hub CSPM でコントロールの検出結果を受信し始めます。Security Hub CSPM は、 でコントロールの検出結果をレポートしますAWS Security Finding 形式 (ASFF)。これらは、この標準の Amazon リソースネーム (ARN) および GeneratorId の ASFF 値です。

サービスマネージドスタンダード: の検出結果の例については AWS Control Tower、「」を参照してくださいコントロールの検出結果のサンプル。

サービスマネージドスタンダードに適用されるコントロール： AWS Control Tower

サービスマネージドスタンダード: AWS Foundational Security Best Practices (FSBP) 標準の一部であるコントロールのサブセット AWS Control Tower をサポートします。コントロールを選択して、失敗した検出結果の修正ステップなど、そのコントロールに関する情報を表示します。

次のリストは、サービスマネージドスタンダードで使用可能なコントロールを示しています AWS Control Tower。コントロールに対するリージョンの制限は、FSBP 標準のコロラリーコントロールに対するリージョンの制限と一致します。このリストには、標準に依存しないセキュリティコントロール ID が表示されます。 AWS Control Tower コンソールでは、コントロール IDsは SH.ControlID (SH.CodeBuild.1 など) の形式になります。Security Hub CSPM で、アカウントで統合コントロールの検出結果がオフになっている場合、 ProductFields.ControlIdフィールドは標準ベースのコントロール ID を使用します。標準ベースのコントロール ID は、CT.ControlId (CT.CodeBuild.1 など) としてフォーマットされます。

この標準の詳細については、「 AWS Control Tower ユーザーガイド」の「Security Hub CSPM コントロール」を参照してください。