Security Hub CSPM

Security Hub CSPM とは

AWS Security Hub の CSPM（Cloud Security Posture Management）機能は、AWS リソースの設定がセキュリティベストプラクティスに準拠しているかを自動チェックするサービスである。各チェック項目は「コントロール」と呼ばれ、AWS Config ルールにより評価される。

他のツールとの位置づけ

Security Hub CSPM で検出された問題に対して、「予防」と「検出の深掘り」の両面で補完するツールがある。

検出

Security Hub CSPM は「設定がどうなっているか」をチェックする。IAM Access Analyzer は「最終的に誰がアクセスできるか」を分析する。Security Hub CSPM がパブリックアクセスの設定チェックを中心とするのに対し、IAM Access Analyzer はクロスアカウントアクセスも含めた到達可能性を分析する。

なお、Control Tower にも独自の検出コントロール（Strongly recommended / Elective）があり、パブリックアクセス関連のものも含まれる。ただし、FSBP の方がコントロール数が多く網羅性が高いため、本記事では FSBP を基準として整理する。

予防

予防コントロールおよび Declarative Policies が存在するサービスについては、これらを優先的に活用すべきである。予防コントロールは AWS がポリシーの内容を管理しており、サービスの仕様変更に追従する。Declarative Policies はサービスのコントロールプレーンで直接強制されるため、新しい API が追加されてもポリシーの更新なしに設定を維持できる。カスタム SCP / RCP は自分でメンテナンスが必要であり、サービスの API 変更や新機能追加に対して追従漏れのリスクがある。

予防コントロールが存在しないサービスについては、カスタム SCP / RCP 等で補完する必要がある。個別コントロールの検証で、カスタムポリシーの実装例と妥当性を検証する。

セキュリティ基準と重大度

FSBP を対象とする理由

Security Hub には複数のセキュリティ基準（CIS AWS Foundations Benchmark、PCI DSS 等）があるが、本記事では AWS Foundational Security Best Practices（FSBP） を対象とする。FSBP は AWS 自身が定義したベストプラクティス集であり、AWS サービス固有の設定チェックが最も網羅的に含まれている。他の基準（CIS 等）は業界標準の観点からのチェックであり、FSBP と重複するコントロールも多い。

重大度 CRITICAL / HIGH にフォーカスする理由

Security Hub コントロールの重大度は、悪用の難易度と侵害の可能性に基づいて AWS が割り当てている（AWS Prescriptive Guidance）。

MEDIUM / LOW のコントロールも対処すべきものであり、無視してよいわけではない。ただし、AWS は「CRITICAL と HIGH の finding を優先的に調査することを推奨」していることから、本記事では対処の優先順位に従い、まず CRITICAL / HIGH のコントロールを対象とする。

CRITICAL / HIGH コントロールの全体像

FSBP の CRITICAL / HIGH コントロールは合計 82 件（CRITICAL 27 件、HIGH 55 件）ある。セキュリティ上の懸念パターンで分類すると以下の通り。

CRITICAL 27 件中 21 件（78%）がパブリックアクセスの防止に分類される。

選定の考え方

本記事では、パブリックアクセスの防止（35 件）を検証対象とする。

パブリックアクセスにフォーカスする理由：

• CRITICAL 27 件中 21 件（78%）がパブリックアクセス関連であり、最もリスクが高いパターン
• 全 82 件の 43% を占める最大のカテゴリ

残り 47 件は、テーマが異なるため今回は扱わない。セキュリティサービスの有効化（GuardDuty / Inspector 等）は組織設計、パッチ管理やネットワーク分離はワークロード固有の運用設計に依存するテーマであり、パブリックアクセスの防止とは検証の観点が異なる。なお、CloudFront.12（CloudFront ディストリビューションが存在しない S3 オリジンを指さない）は FSBP では HIGH に分類されているが、削除済みの S3 バケット名を第三者に取得されるリスク（サブドメインテイクオーバー）を検出するものであり、リソースの公開設定をチェックする他のパブリックアクセス防止コントロールとは性質が異なるため、本記事のスコープ外とする。

パブリックアクセス関連コントロール一覧（35 件）

CRITICAL（21 件）

HIGH（14 件）

デフォルト保護の分類（暫定）

公式ドキュメントからの一次整理に基づく暫定分類。個別コントロールの検証で確定させる。

IAM Access Analyzer との検出範囲の比較

Security Hub CSPM は主にパブリックアクセスの設定をチェックする（S3.6 のようにクロスアカウントアクセスをチェックするコントロールも一部存在する）。一方、IAM Access Analyzer はパブリックアクセスに加えてクロスアカウントアクセスも検出する。

IAM Access Analyzer 対象のリソースについては、Security Hub CSPM がパブリックアクセスのみを検出するコントロールであっても、IAM Access Analyzer でクロスアカウントアクセスを補完的に検出できる。IAM Access Analyzer 対象外のリソースについては、クロスアカウントの検出手段が限られるため、予防コントロールやカスタム SCP による予防的対処がより重要になる。

検証の進め方

確認ポイント

個別コントロールの検証では、デフォルト保護の有無に応じて以下の確認を行う。

共通

1. 検出対象が何か（何の設定をチェックしているか）
2. パブリックアクセスのみか、クロスアカウントアクセスも検出するか
3. IAM Access Analyzer の対象リソースであれば、検出範囲の対比
4. デフォルトで保護されているか

パターン A：デフォルトで保護されている場合

5. 何をやったら検出するか（ユーザーの誤操作を想定した設定変更）
6. Config ルールで強制的に finding 生成 → FAILED 確認
7. 設定を戻す → PASSED に戻るか確認
8. 設定変更を防ぐための手段（予防コントロール → カスタム SCP → Config ルールと修復）
9. 予防手段を適用した後、Security Hub finding の状態はどうなるか

パターン B：デフォルトで保護されていない場合

5. 今検出されているか（サービス起動が必要なら起動）
6. Config ルールで強制的に finding 生成 → FAILED 確認
7. デフォルトで保護するための設定方法
8. 設定適用後 → PASSED に戻るか確認
9. 設定変更を防ぐための手段（予防コントロール → カスタム SCP → Config ルールと修復）
10. 予防手段を適用した後、Security Hub finding の状態はどうなるか

検証対象コントロール一覧