SCS検出
ある多国籍企業は、12のAWSリージョンと50のAWSアカウントにまたがるインフラを運用しています。セキュリティチームは以下の要件を満たす一元管理の仕組みを構築したいと考えています。
・東京リージョンを集約拠点として、全リージョン・全アカウントのセキュリティ検出結果を単一のダッシュボードで管理する
・GuardDuty・Inspector・Macieの検出結果をすべて一元的に管理する
・新しいAWSアカウントが組織に追加された際に自動的に管理対象へ組み込む
最も少ない運用オーバーヘッドでこの要件を満たす構成はどれですか？
AAWS Security Hub を各リージョンで有効化し、Amazon EventBridgeルールで東京リージョンのSNSトピックにすべての検出結果を転送する
EventBridgeによる各リージョンの検出結果転送は機能しますが、リージョンごとにルール設定を個別に実装・管理する必要があり、運用コストが高くなります。
BAWS Organizationsで委任管理者アカウントを設定してSecurity Hubを一括展開し、東京リージョンをクロスリージョン集約リージョンとして構成する
✓ 正解
Organizations統合によるSecurity Hubの一括展開で、委任管理者アカウント配下のメンバーアカウント全体にSecurity Hubが自動展開され、東京リージョンをクロスリージョン集約リージョンとして設定すれば全リージョンの検出結果が自動転送されます。
CSecurity Hubのカスタムアクションを使用して、各リージョンの検出結果を東京リージョンのS3バケットに集約しAthenaで分析する
Security Hubのカスタムアクション+S3+Athenaの構成は検出結果の保管は可能ですが、リアルタイムダッシュボード管理や一元監視には不向きで、クエリの手間も増加します。
DAmazon GuardDutyの委任管理者機能で各アカウントを管理し、CloudWatchダッシュボードで一元可視化する
GuardDutyの委任管理者機能はGuardDutyのみを対象とし、Inspector・Macie等他のセキュリティサービスの検出結果を統合管理できないため、複数セキュリティサービス統合管理の要件を満たしません。
解説
Security HubはOrganizations統合により新規アカウントへの自動展開が可能で、クロスリージョン集約機能により全リージョンの検出結果を指定リージョン（東京）に自動転送できます。GuardDuty・Inspector・MacieのFindingはASFF（Amazon Security Finding Format）に正規化されて一元管理されます。
AのEventBridgeによる転送は機能しますが、リージョンごとにルールを個別設定する必要があり運用コストが高くなります。
CのS3+Athenaはリアルタイムのダッシュボード管理には不向きです。
DのGuardDuty委任管理者はGuardDutyのみを対象とし、InspectorやMacieの検出結果を統合管理できません。
ドメイン別正答率・予想スコアでリアルタイムに実力把握
無限ノックでSCSを徹底対策。全問AI生成のオリジナル問題。
無料で演習を始める →