c1.14 重大なセキュリティ検出結果に対応する
検知は対応がなければ無意味です。AWS Security Hub に GuardDuty・Security Hub CSPM・Inspector・Macie の検出結果を相関・優先付けさせ、重大/高のものにアラートし、指名された担当者またはチームが対応すること、そして進行中のインシデント時に AWS へ連絡する方法を把握していることを確実にします。
実装ガイダンス
集約・相関・アラートする
検知系サービス（Amazon GuardDuty、AWS Security Hub CSPM のセキュリティチェック、IAM Access Analyzer、Amazon Inspector、Amazon Macie）の検出結果は、AWS Security Hub に自動的に集約され、アカウントとリージョンをまたいで相関・強化され、実際のリスクが浮き彫りになり優先付けされます。重大および高の重大度の検出結果を通知（EventBridge → Amazon SNS、または Slack/Teams への Lambda 連携）にルーティングします。すでに SIEM を運用している場合は、そこへ検出結果を転送してアラートします。
名称に関する注記: 2025 年後半以降、2 つのサービスがあります。AWS Security Hub は、対応のためにシグナルを相関・優先付けする統合レイヤーです。AWS Security Hub CSPM（以前「AWS Security Hub」と呼ばれていたもの）は、ポスチャ管理とベストプラクティスチェックを行います。CSPM の検出結果は AWS Security Hub に流れ込みます。
誰かが対応しなければならない
検知的統制は、人または自動化が実際に調査・是正して初めてポスチャを改善します。責任を負う担当者またはチームを指名し、訓練し、Quick Win として、少なくとも重大/高の検出結果には到着次第対応することをコミットします。アラートは複数人に届くべきです。
実際のインシデントのエスカレーション方法を知る
リスク（修正すべき検出結果）と進行中のセキュリティインシデント（今まさに起きていること）を区別できるようチームを教育します。進行中のインシデントでは AWS Customer Incident Response Team（CIRT）（進行中の事象の間の無償支援）や、Enterprise Support があればテクニカルアカウントマネージャーに連絡できます。
ただちに対応すべき検出結果
- AWS からの不正利用通知（あなたのアカウントが他者を攻撃している。侵害の可能性が高い）。
- 露出したアクセスキー（通知または Trusted Advisor 経由）。
- コマンド＆コントロールや Tor トラフィックなどの重大な GuardDuty 検出結果。GuardDuty の検出結果タイプを参照してください。
動画を見る
How to validate
- 重大な検出結果に対応する担当者またはチームが指名され、訓練されていますか？
- アラートは複数人に届くよう構成されていますか？
- 検出結果は全アカウント・全リージョンで AWS Security Hub に相関・集約されていますか？
- チームはリスクと進行中のインシデントを区別でき、AWS CIRT の存在を知っていますか？
Threats addressed
- リスクを特定する検知的統制は、人または自動化が調査・封じ込めに動かない限り、セキュリティを高めません。読まれないまま積み上がる検出結果は保護になりません。
AWS サービス
AWS Security Hub 
Amazon GuardDuty 
Amazon EventBridge 料金
AWS Security Hub には 30 日間の無料トライアルがあります。AWS Security Hub CSPM には、アカウント・リージョンごとに月あたり最初の 10,000 件の検出結果取り込みイベントという永続的な無料枠があります（自身のセキュリティチェックによるイベントは課金されません）。それを超える利用はイベント単位で課金されます。AWS CIRT は進行中のセキュリティインシデントの間、無償で支援します。AWS Security Hub の料金を参照してください。