c3.21 セキュリティインシデントを調査する

単一のツールではなく「能力」

この統制の目的は、セキュリティの検出結果を根本原因まで調査する能力です。サービス横断でシグナルを相関させ、正常と異常な挙動を区別し、影響範囲を把握し、誤検知を排除する——それを素早く行い、滞留時間を低く保ちます。これを実現する AWS サービスは複数あり、互いに排他的ではなく補完的です。

• Amazon Detective: AWS CloudTrail、VPC フローログ、GuardDuty の検出結果を、ジオロケーションと正常なアクティビティのベースラインを備えたリンクされた挙動グラフに自動で相関させます。アナリストはパイプラインを自作せずにインシデントを追跡できます。
• Amazon GuardDuty investigation agent: オンデマンドの AI 支援による脅威評価。検出結果を調査し、何が起きたかを要約します。
• AWS Security Incident Response: 自動トリアージと、AI 支援の調査エージェント、進行中の事象に対する AWS Customer Incident Response Team（CIRT）への 24 時間 365 日のアクセスを組み合わせます。
• AWS Security Hub: サービス横断で検出結果を相関・優先付けして exposure にまとめ、AI 支援の調査ワークフローに供給できます。

多くのチームはサードパーティの SIEM / SOAR からも調査します。整合にとって重要なのは、その能力が存在し、かつ速いことであって、どの製品が提供するかではありません。

良い調査が答えること

• この活動はリソースの通常パターンと比べて異常で、想定された場所から来ているか？
• 影響範囲はどこまでで、誤検知ではない真の根本原因は何か？
• いま何を封じ込め、どの証拠を保全すべきか？