c3.7 カスタム脅威検知を追加する

カスタム検知が必要になるとき

Amazon GuardDuty は幅広い脅威を検知しますが、組織固有のユースケース向けの検知を作成することはできません。それらを構築するには: 1. ユースケースを特定します。 2. 必要なデータを持つログソースを特定します。 3. それらのイベントを集約します。 4. 検知した事象をカテゴリ分けする相関ルールを書きます。 5. カテゴリに基づいてアラートします。

Amazon Security Lake で集約する

Amazon Security Lake は、マルチアカウント環境のログを Open Cybersecurity Schema Framework（OCSF）に正規化してデータレイクに集約します。ペタバイト規模までスケールし、SIEM・BI ツール・Amazon Athena が正規化イベントをサブスクライブまたはクエリできます。可視化ツールには短期間だけ保持しつつ、レイクには検索可能な形で何年分ものログを保持できます。

SIEM を統合する

ハイブリッドやマルチクラウドの環境では、SIEM がイベント（オンプレミス、マルチクラウド、AWS）を集約し、相関ルールを適用してインシデントを検知します。ほとんどの SIEM（Splunk、IBM QRadar、Microsoft Sentinel、Sumo Logic、Exabeam など）は CloudTrail や Security Hub CSPM の検出結果などの AWS ログを取り込めます。AWS ネイティブの選択肢が良ければ、SIEM on Amazon OpenSearch Service ソリューションが CloudFormation でデプロイでき、多数の組み込み検知ルールを備えています。

AWS Security Hub は SIEM ですか？ いいえ。SIEM は生のイベントを集約して検出結果に相関させます。AWS Security Hub は、セキュリティチームが対応すべき、すでに関連性のある検出結果（GuardDuty、Security Hub CSPM、Inspector、Macie など）を集約・相関させます。