マルチアカウント環境を運用する金融サービス企業が、全組織アカウントのセキュリティ調査結果を単一アカウントで一元管理し、重要度CRITICALの調査結果が発生してから5分以内にオンコールエンジニアへ通知する仕組みを構築した

Question

マルチアカウント環境を運用する金融サービス企業が、全組織アカウントのセキュリティ調査結果を単一アカウントで一元管理し、重要度CRITICALの調査結果が発生してから5分以内にオンコールエンジニアへ通知する仕組みを構築したい。また、PCI DSSコンプライアンスに関連する未解決の調査結果を週次レポートとして集計する機能も必要とする。最も少ない構成で両要件を満たすアーキテクチャはどれか。

Accepted Answer

正解: Security Hubを委任管理者で集約し、EventBridgeでCRITICAL調査結果をSNS通知し、カスタムインサイトでPCI DSS未解決調査結果を週次集計する。Security Hubは複数サービスの調査結果をASFF形式で統合管理し、カスタムインサイトでPCI DSS標準別の集計が可能。EventBridge + SNSでCRITICAL通知を5分以内に実現でき、GuardDutyのみより広いカバレッジを持つ。

Answer

Security Hubを委任管理者で集約し、EventBridge経由のLambdaで重要度評価を再実装してSNS通知し、Firehose・S3・AthenaでPCI DSS調査結果を集計する — Security HubはLambdaによる重要度評価の再実装やFirehose+S3+Athenaを追加せずカスタムインサイトでPCI DSS集計が可能であり、この構成は不要な複雑性を追加する。

Answer

GuardDutyを委任管理者で集約し、EventBridgeでSeverity >= 7.0の調査結果をSNS通知し、GuardDutyエクスポートとAthenaでPCI DSS調査結果を集計する — GuardDutyは脅威検出専用であり、Inspector・MacieなどのPCI DSS関連調査結果を集約する機能を持たないため、PCI DSS要件全体のカバレッジが不十分となる。

Answer

GuardDutyを委任管理者で集約し、CloudWatchアラームでFindingsカウントメトリクスを監視してSNS通知し、GuardDuty統計からPCI DSS対象調査結果を定期抽出する — GuardDutyのCloudWatchメトリクスはFindingsのカウントのみを提供し、コンプライアンス標準別の細粒度フィルタリング集計には対応しておらずPCI DSS要件を満たせない。

解説