c4.14 セキュリティオーケストレーションとチケット管理を追加する

すべてのインシデントをチケットで追跡する

各インシデントに、進捗を追跡するチケットを与えます。既存のチケットシステムか、Security Orchestration, Automation and Response（SOAR）プラットフォームを使います。重要なプラクティス:

• 未確認または SLA 超過のチケットを自動エスカレーションする。
• オーナーシップ: チケットを取った人が、別の人が明示的に引き継ぐまで責任を負う。問題を受信箱に投げっぱなしにせず、受け手のチームが受領し、進めるための文脈を持っていることを確認する。
• 学習とフォレンジックのため、重要なアクションをすべて記録する。
• アクターと戦術を特定するため、過去のインシデントや外部脅威インテリジェンスと IoC を相関させる。
• 指標/KPI: 対応フェーズ（検知・分析・封じ込め・根絶・復旧）をチケットのステータスに反映し、各フェーズの所要時間を測定し、月次または四半期で報告する。
• 影響を受けたアセットの文脈でチケットを自動補強する。生成 AI の要約が役立つ。

AWS Security Hub を中心に据える

AWS Security Hub は、オーケストレーションとチケット管理の自然なハブです。Amazon GuardDuty、Amazon Inspector、Amazon Macie、Security Hub CSPM、そして AWS パートナーソリューションの検出結果を集約・相関させ、Open Cybersecurity Schema Framework（OCSF）に正規化するため、後段のツールは一貫した形式で取り込めます。

• チケット管理: Security Hub は Jira や ServiceNow（ITSM）と双方向に統合します。検出結果からチケットを自動または手動で作成・更新し、ステータスを同期して戻せるため、インシデントはチームがすでに使っているワークフローの中に存在します。
• パートナーで拡張: Security Hub Extended プランは、AWS パートナーソリューションの厳選セット（CrowdStrike、Splunk、Okta、Zscaler、Proofpoint など）を提供し、検知と対応を AWS を超えて企業全体に拡張します。

SOAR プラットフォーム

主要な SOAR プラットフォームは、AWS Security Hub や AWS 全般と統合してアクションを実行します。チケット管理を重視するものもあれば、自動化を重視するものもあります。たとえば Splunk SOAR は Amazon EventBridge 経由で転送された検出結果を取り込み、Palo Alto Cortex XSOAR は多くの AWS サービス向けのコンテンツパックを提供します。自分のギャップがチケット管理か、自動化か、その両方かに応じて選びます。