# チュートリアル: AWS での自動化されたセキュリティ対応の開始方法
<a name="getting-stated-with-asr"></a>

このチュートリアルでは、初めてデプロイする手順を説明します。まず、このソリューションを導入するための前提条件を説明し、最後にメンバーアカウントの検出結果の例を修復します。

## アカウントを準備する
<a name="prepare-the-accounts"></a>

このソリューションのクロスアカウントおよびクロスリージョンの修復機能のデモを行うために、このチュートリアルでは 2 つのアカウントを使用します。このソリューションを単一のアカウントにデプロイすることもできます。

次の例では、アカウント `111111111111` と `222222222222` を使用してこのソリューションのデモを行います。`111111111111` は管理者アカウントになり、`222222222222` はメンバーアカウントになります。`us-east-1` と `us-west-2` のリージョンのリソースに関する検出結果を修復するソリューションを設定します。

次の表は、各アカウントとリージョンの各ステップで実行するアクションを示す例です。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | なし | なし | 
|  `222222222222`  | メンバー | なし | なし | 

管理者アカウントは、ソリューションの管理アクションを実行するアカウントです。具体的には、手動で修復を開始したり、修復設定 DynamoDB テーブルを使用して完全に自動化された修復を有効にしたりします。このアカウントは、検出結果を修復したいすべてのアカウントの Security Hub の委任管理者アカウントでもなければなりませんが、ご自分のアカウントが属する AWS Organizations の AWS Organizations 管理者アカウントである必要はなく、またそうである必要もありません。

## AWS Config を有効にする
<a name="enable-aws-config"></a>

次のドキュメントを確認します。
+  [AWS Config ドキュメント](https://docs.aws.amazon.com/config/latest/developerguide/WhatIsConfig.html) 
+  [AWS Config の料金](https://aws.amazon.com/config/pricing/) 
+  [AWS Config の有効化](https://docs.aws.amazon.com/config/latest/developerguide/gs-console.html) 

両方のアカウントと両方のリージョンで AWS Config を有効にします。これには料金が発生します。

**重要**  
必ず「グローバルリソース (AWS IAM リソースなど) を含める」オプションを選択してください。AWS Config を有効にするときにこのオプションを選択しないと、グローバルリソース (AWS IAM リソースなど) に関連する検出結果が表示されません。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | AWS Config を有効にする | AWS Config を有効にする | 
|  `222222222222`  | メンバー | AWS Config を有効にする | AWS Config を有効にする | 

## AWS Security Hub を有効にする
<a name="enable-aws-security-hub"></a>

次のドキュメントを確認します。
+  [AWS Security Hub ドキュメント](https://docs.aws.amazon.com/securityhub/latest/userguide/what-is-securityhub.html) 
+  [AWS Security Hub の料金](https://aws.amazon.com/security-hub/pricing/) 
+  [AWS Security Hub の有効化](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-settingup.html) 

両方のアカウントと両方のリージョンで AWS Security Hub を有効にします。これには料金が発生します。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | AWS Security Hub を有効にする | AWS Security Hub を有効にする | 
|  `222222222222`  | メンバー | AWS Security Hub を有効にする | AWS Security Hub を有効にする | 

## 統合されたコントロールの検出結果を有効にする
<a name="enable-consolidated-findings"></a>

次のドキュメントを確認します。
+  [コントロールの検出結果の生成と更新](https://docs.aws.amazon.com/securityhub/latest/userguide/controls-findings-create-update.html) 

このチュートリアルでは、推奨構成である AWS Security Hub の統合されたコントロールの検出結果機能を有効にしたソリューションの使用方法を示します。この記事を書いている時点でこの機能をサポートしていないパーティションでは、SC (セキュリティコントロール) ではなく標準固有のプレイブックをデプロイする必要があります。

両方のアカウントと両方のリージョンで統合されたコントロールの検出結果を有効にします。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | 統合されたコントロールの検出結果を有効にする | 統合されたコントロールの検出結果を有効にする | 
|  `222222222222`  | メンバー | 統合されたコントロールの検出結果を有効にする | 統合されたコントロールの検出結果を有効にする | 

新機能で検出結果が生成されるまで、しばらく時間がかかる場合があります。このチュートリアルを続行することはできますが、新機能がないと生成された検出結果を修復することはできません。新機能で生成された検出結果は、`GeneratorId` フィールド値の `security-control/<control_id>` で識別できます。

## クロスリージョン検出結果の集約を設定する
<a name="configure-cross-region-findings"></a>

次のドキュメントを確認します。
+  [クロスリージョン集約](https://docs.aws.amazon.com/securityhub/latest/userguide/finding-aggregation.html) 
+  [クロスリージョン集約の有効化](https://docs.aws.amazon.com/securityhub/latest/userguide/finding-aggregation-enable.html) 

両方のアカウントで **us-west-2** から **us-east-1** までの検出結果の集約を設定します。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | us-west-2 からの集約を設定する | なし | 
|  `222222222222`  | メンバー | us-west-2 からの集約を設定する | なし | 

検出結果が集約リージョンに反映されるまでにはしばらく時間がかかる場合があります。チュートリアルを続行することはできますが、他のリージョンの検出結果を集約リージョンに表示し始めるまで修復することはできません。

## Security Hub 管理者アカウントを指定する
<a name="designate-a-security-hub-admin"></a>

次のドキュメントを確認します。
+  [AWS Security Hub でのアカウントの管理](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-accounts.html) 
+  [組織のメンバーアカウントの管理](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-accounts-orgs.html) 
+  [招待によるメンバーアカウントの管理](https://docs.aws.amazon.com/securityhub/latest/userguide/account-management-manual.html) 

次の例では、手動での招待方法を使用します。本番稼働アカウントのセットについては、AWS Organizations を使用し Security Hub の委任管理を行うことをお勧めします。

管理者アカウント (`111111111111`) の AWS Security Hub コンソールから、メンバーアカウント (`222222222222`) を招待して、Security Hub の委任管理者として管理者アカウントを承諾します。メンバーアカウントから招待を承諾します。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | メンバーアカウントを招待する | なし | 
|  `222222222222`  | メンバー | 招待を承諾する | なし | 

検出結果が管理者アカウントに反映されるまでにはしばらく時間がかかる場合があります。チュートリアルを続行することはできますが、管理者アカウントに表示され始めるまで、メンバーアカウントからの検出結果を修復することはできません。

## セルフマネージド StackSets アクセス許可用のロールを作成する
<a name="create-roles-for-self-managed-stacksets"></a>

次のドキュメントを確認します。
+  [AWS CloudFormation StackSets](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/what-is-cfnstacksets.html) 
+  [セルフマネージドのアクセス許可の付与](https://docs.aws.amazon.com/AWSCloudFormation/latest/UserGuide/stacksets-prereqs-self-managed.html) 

CloudFormation スタックを複数のアカウントにデプロイするので、StackSets を使用します。管理者スタックとメンバースタックのネストされたスタックは、サービスでサポートされていないため、サービスマネージドのアクセス許可は使用できません。そのため、セルフマネージドのアクセス許可を使用する必要があります。

スタックをデプロイして StackSet オペレーションの基本的なアクセス許可を取得します。本番稼働アカウントの場合は、「高度な権限オプション」のドキュメントに従ってアクセス許可を絞り込むことをお勧めします。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | StackSet 管理者ロールスタックをデプロイする<br />StackSet 実行ロールスタックをデプロイする | なし | 
|  `222222222222`  | メンバー | StackSet 実行ロールスタックをデプロイする | なし | 

## 検出結果の例を生成する安全ではないリソースを作成する
<a name="create-the-insecure-resources"></a>

次のドキュメントを確認します。
+  [Security Hub コントロールのリファレンス](https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-controls-reference.html) 
+  [AWS Lambda コントロール](https://docs.aws.amazon.com/securityhub/latest/userguide/lambda-controls.html) 

修復のデモを行うために、安全ではない設定のリソースを次に示します。コントロールの例は Lambda.1 です。Lambda 関数のポリシーではパブリックアクセスを禁止する必要があります。

**重要**  
安全ではない設定のリソースを意図的に作成します。コントロールの性質を確認し、ご自分の環境でこのようなリソースが作成されるリスクをご自分で評価してください。このようなリソースを検出して報告するために組織に用意されている可能性のあるツールをすべて把握し、必要に応じて例外をリクエストしてください。選択したコントロールの例が適切でない場合は、このソリューションがサポートする別のコントロールを選択してください。

メンバーアカウントの 2 番目のリージョンで、AWS Lambda コンソールに移動し、最新の Python ランタイムで関数を作成します。[設定] -> [アクセス許可] で、認証なしで URL から関数を呼び出すことを許可するポリシーステートメントを追加します。

コンソールページで、関数がパブリックアクセスを許可していることを確認します。ソリューションによってこの問題が解決されたら、アクセス許可を比較して、パブリックアクセスが取り消されたことを確認します。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | なし | なし | 
|  `222222222222`  | メンバー | なし | 安全ではない設定で Lambda 関数を作成する | 

AWS Config が安全ではない設定を検出するまでにはしばらく時間がかかる場合があります。チュートリアルを続行することはできますが、Config が検出するまでは検出結果を修復できません。

## 関連するコントロール用の CloudWatch ロググループを作成する
<a name="create-cloudwatch-log-groups"></a>

次のドキュメントを確認します。
+  [Amazon CloudWatch Logs による CloudTrail ログファイルのモニタリング](https://docs.aws.amazon.com/awscloudtrail/latest/userguide/monitor-cloudtrail-log-files-with-cloudwatch-logs.html) 
+  [CloudTrail コントロール](https://docs.aws.amazon.com/securityhub/latest/userguide/cloudtrail-controls.html) 

このソリューションがサポートするさまざまな CloudTrail コントロールでは、マルチリージョン CloudTrail の送信先となる CloudWatch ロググループが必要です。次の例では、プレースホルダーロググループを作成します。本番稼働アカウントの場合は、CloudTrail と CloudWatch Logs の統合を正しく設定する必要があります。

各アカウントとリージョンに同じ名前のロググループを作成します (例: `asr-log-group`)。


| アカウント | 目的 | us-east-1 でのアクション | us-west-2 でのアクション | 
| --- | --- | --- | --- | 
|  `111111111111`  | 管理者 | ロググループを作成する | ロググループを作成する | 
|  `222222222222`  | メンバー | ロググループを作成する | ロググループを作成する |