c4.13 高度なセキュリティ自動化を構築する

なぜクラウドで可能になるか

クラウドでは、インシデント対応者が必要とする情報がプログラムから取得できます。AWS CloudTrail の完全な API 呼び出しログ、AWS Config の構成インベントリと変更履歴、特定イベントで対応フローをトリガーする Amazon EventBridge です。これにより、オンプレミスで実用的な水準をはるかに超える自動化が可能になります。

AWS Security Hub から自動化をトリガーする

AWS Security Hub は、これらの自動化を駆動する主要なソースです。Amazon GuardDuty、Amazon Inspector、Amazon Macie、Security Hub CSPM の検出結果を集約・相関・優先付けして単一のストリームにまとめるため、各サービスを個別に配線するのではなく、一箇所から自動化できます。Security Hub のオートメーションルールで検出結果の重大度と影響を受けるリソースに応じて対処し、Amazon EventBridge 経由で検出結果を自作の AWS Lambda や Step Functions の是正処理にルーティングします。これは重大な検出結果への対応や重要なプレイブックの自動化と組み合わさります。

最も価値の高い対応を自動化する

進行中のインシデントでは、フォレンジック証拠の収集と脅威の封じ込めにかかる時間が、影響を直接左右します。次の自動化を優先します。

• 侵害されたコンピューティングリソースのフォレンジック取得（たとえば EC2 インスタンスのボリュームとメモリのスナップショット）。
• リソースの隔離（たとえば、調査のために保持しつつ、下り通信をブロックする隔離用セキュリティグループへの切り替え）。

これらの自動化は十分にテストします。人による承認が必要なら、SLA とエスカレーションを備えた複数の承認者に回します。承認なしで実行するなら、自動隔離がインシデント以上の害を及ぼさないよう、そのアセットの業務プロセスを考慮します。