Live:CloudOps Webinars & Hands-on Workshops ·Register ↗
メインコンテンツまでスキップ

セキュリティ専門家

組織内のセキュリティ専門家は、多様な役割と責任を担っており、それぞれがクラウドインフラストラクチャ、アプリケーション、リソースを効果的に保護するために、さまざまなスキルセットとツールを必要としています。堅牢なクラウドセキュリティフレームワークを設計する Security Architects から、脅威を監視して対応する Security Operations チームまで、AWS でのセキュリティジャーニーには、役割固有のベストプラクティスとツールが求められます。

このガイドでは、主要なセキュリティペルソナに合わせたセキュリティアプローチの概要を説明します。セキュリティアーキテクトは AWS Well-Architected Framework のセキュリティの柱の実装とセキュアなランディングゾーンの設計に焦点を当て、セキュリティオペレーションチームは AWS Security Hub と Amazon GuardDuty を活用して脅威の検出と対応を行い、コンプライアンスマネージャーは AWS Audit Manager と AWS Config を活用して規制基準を維持し、セキュリティエンジニアは AWS IAM、AWS KMS、AWS Network Firewall などのサービスを使用してインフラストラクチャセキュリティを実装します。

これらのペルソナ固有の要件を理解することで、組織は各セキュリティロールの固有の課題と責任に対処しながら、AWS 環境全体で強力なセキュリティ体制を維持する包括的なセキュリティプログラムを構築できます。

セキュアコーディングプラクティスとセキュア開発ライフサイクル​

AWS は、「セキュリティバイデザイン」の原則を通じて、ソフトウェア開発の基盤要素としてセキュリティを重視しています。開発ライフサイクル全体にセキュリティコントロールとコンプライアンス要件を統合するセキュアコーディングプラクティスを実装できます。これらのプラクティスは、OWASP Top 10 などの業界標準に準拠しており、アプリケーションライフサイクル全体を通じて堅牢なセキュリティ体制を維持するのに役立ちます。

  • インフラストラクチャをコード (IaC) として実装し、一貫性のあるバージョン管理されたセキュリティ設定を確保します。統合されたセキュリティスキャンを備えた AWS CodeBuild を使用し、自動化されたセキュリティテストのために AWS CodePipeline をデプロイします。

  • AWS 責任共有モデルは、セキュリティ責任の理解をガイドします。一方、Amazon CodeGuru Reviewer などのサービスは、セキュリティの脆弱性を自動的に識別し、修復手順を提案します。

  • AWS では、設計と開発からテスト、デプロイ、メンテナンスに至るまで、すべてのフェーズでセキュリティコントロールを実装することを推奨しています。主なプラクティスには、安全な認証情報処理のための AWS Secrets Manager の使用、アプリケーション保護のための AWS WAF の実装、継続的なセキュリティ評価のための Amazon Inspector の活用が含まれます。

アイデンティティとアクセス管理のベストプラクティス​

AWS では、Identity and Access Management (IAM) 戦略の基盤として最小権限の原則を実装することを推奨しています。日常的なクラウド運用にルートアカウントを使用するのではなく、個別の IAM ユーザーを作成することから始め、強力なパスワードポリシーを実装し、認証情報を定期的にローテーションする必要があります。AWS では、特に機密性の高い操作について、特権ユーザーとルートアカウントに対する多要素認証 (MFA) の使用を検証しています。

  • AWS Organizations を使用すると、複数のアカウントを一元的に管理およびガバナンスできます。同時に、Service Control Policies (SCPs) と Resource Control Policies (RCPs) を使用して、組織全体の権限に対するガードレールを確立できます。きめ細かなアクセス制御には、IAM タグを使用した属性ベースのアクセス制御 (ABAC) を使用でき、維持する必要があるポリシーの数を削減できます。

  • AWS IAM Identity Center (旧 AWS Single Sign-On) を使用して、AWS アカウントとビジネスアプリケーション全体のアクセスを一元管理することで、アクセス管理を効率化できます。

  • AWS IAM Access Analyzer を使用した定期的なアクセスレビューは、未使用のアクセス許可を特定して削除するのに役立ちます。一方、AWS CloudTrail は、セキュリティ分析とコンプライアンス監査のための詳細な API アクティビティログを提供します。

これらのプラクティスは、AWS Well-Architected Framework のセキュリティの柱に沿っており、大規模な ID 管理を行いながら強固なセキュリティ体制を維持するのに役立ちます。

データの暗号化と保護のガイドライン​

AWS は、多層防御アプローチを通じて包括的なデータ保護機能を提供し、保管時と転送時の両方で暗号化を重視しています。

  • AWS Key Management Service (AWS KMS) を使用して暗号化キーを作成および管理することで保管中のデータを保護でき、AWS Certificate Manager (ACM) を使用して TLS 証明書により転送中のデータを保護できます。

  • Amazon S3 データの場合、AWS KMS keys (SSE-KMS)、S3 マネージドキー (SSE-S3)、または顧客提供キー (SSE-C) を使用してサーバー側の暗号化を実装できます。AWS では、コンプライアンス要件に基づいて AWS マネージドキーまたはカスタマーマネージドキーのいずれかを使用して、Amazon EBS ボリューム、RDS インスタンス、および DynamoDB テーブルをデフォルトで暗号化することを推奨しています。

  • データ主権を維持するために、AWS CloudHSM をハードウェアベースのキーストレージに使用し、AWS Macie を使用して機密データを自動的に検出および保護できます。データを転送する際、AWS PrivateLink はパブリックインターネットを使用せずに AWS サービスへの安全な接続を提供し、AWS Transfer Family は SFTP、FTPS、FTP プロトコルを使用した安全なファイル転送を保証します。

  • さらに、Amazon S3 Object Lock とバージョニングを実装することで、誤削除や悪意のある削除から保護できます。また、AWS Backup は AWS リソース全体で暗号化されたバックアップを作成します。これらの暗号化メカニズムは、HIPAA、PCI DSS、GDPR などのコンプライアンス基準に準拠しています。

コンプライアンスとリスク管理フレームワーク​

AWS は、グローバルな標準や規制に準拠した堅牢なコンプライアンスおよびリスク管理プログラムを維持しながら、お客様自身のコンプライアンスへの取り組みに役立つツールとリソースを提供しています。AWS コンプライアンスプログラムは、ISO 27001、SOC レポート、PCI DSS などのサードパーティによる監査、認証、証明を通じて AWS が実装する包括的な管理体制を理解するのに役立ちます。

  • AWS Audit Manager を使用して、業界標準や社内ポリシーに対する AWS の使用状況を継続的に評価できます。一方、AWS Config は詳細なリソース設定の追跡とコンプライアンス監視を提供します。

  • 規制対象業界の場合、AWS Control Tower は、AWS のベストプラクティスに基づくガードレールを使用して、安全でコンプライアンスに準拠したマルチアカウント環境の確立と維持を支援します。

  • AWS Security Hub は、アカウント全体のセキュリティ検出結果とコンプライアンスチェックを一元化し、自動化されたセキュリティ評価のための Amazon Inspector や脅威検出のための Amazon GuardDuty などのサービスと統合します。

  • AWS Artifact は、セキュリティとコンプライアンスレポートへのオンデマンドアクセスを提供し、監査人に対してコンプライアンスを実証できるようにします。AWS リスクとコンプライアンスホワイトペーパーは、AWS 責任共有モデルの概要を示し、AWS が管理するコンプライアンス要件とお客様の責任として残る要件を理解するのに役立ちます。

これらのツールとフレームワークは、HIPAA、GDPR、FedRAMP、および地域のデータ保護法を含むさまざまな規制要件をサポートしています。

脆弱性管理と侵入テストの戦略​

AWS は、自動化ツールと手動評価機能を組み合わせた構造化されたアプローチを通じて、包括的な脆弱性管理と侵入テストをサポートしています。

  • 8 つの特定のサービス (Amazon EC2 インスタンス、NAT Gateway、Elastic Load Balancer を含む) について、事前承認なしで AWS インフラストラクチャに対する許可された侵入テストを実施できます。AWS Inspector は、脆弱性とセキュリティのベストプラクティスからの逸脱について、アプリケーションを自動的に評価します。一方、Amazon GuardDuty は、脅威と不正な動作を検出するための継続的なセキュリティモニタリングを提供します。

  • コンテナセキュリティについては、Amazon ECR スキャンがコンテナイメージの脆弱性の特定に役立ち、AWS Systems Manager Patch Manager が AWS リソース全体のパッチ管理プロセスを自動化します。AWS Security Hub を使用して、複数の AWS サービスやパートナーツールからのセキュリティ検出結果を集約し、優先順位を付けることで、セキュリティ体制を強化できます。また、AWS では、潜在的なセキュリティ問題のより深い調査のために、Amazon Detective を実装してセキュリティデータを分析および視覚化することを推奨しています。

  • Web アプリケーションの場合、AWS WAF は一般的な攻撃手法からの保護に役立ち、AWS Shield は DDoS 保護を提供します。AWS Marketplace では、AWS 環境と統合する脆弱性スキャンおよび侵入テストのための追加のサードパーティセキュリティツールを提供しています。

定期的なセキュリティ評価は、潜在的な脆弱性を特定しながらコンプライアンスを維持するために、AWS 利用規定およびセキュリティテストガイドラインに従う必要があります。

インシデント対応と脅威ハンティング技術​

AWS は、統合されたセキュリティサービスと自動化機能を通じて、インシデント対応とプロアクティブな脅威ハンティングのための包括的なフレームワークを提供します。

  • AWS Security Hub をセキュリティアラートの中央コマンドセンターとして実装できます。一方、Amazon GuardDuty は機械学習を使用して、AWS アカウントとワークロード全体で継続的な脅威検出を実行します。

  • インシデント対応の自動化には、AWS Systems Manager Incident Manager を使用して、事前定義された対応計画と自動化された Runbook でセキュリティインシデントを管理、解決、分析できます。

  • Amazon Detective はセキュリティデータの分析と可視化を支援し、潜在的なセキュリティ問題の根本原因を特定します。一方、AWS CloudWatch Logs Insights はリアルタイムのログ分析を可能にし、脅威ハンティングに役立ちます。

  • AWS CloudTrail Lake 機能を使用すると、フォレンジック調査のために API アクティビティ履歴全体で SQL ベースのクエリを実行できます。

  • Amazon EventBridge を実装して自動的にセキュリティイベントに対応し、AWS Lambda を使用してサーバーレスでインシデントを修復することで、セキュリティ体制を強化できます。AWS では、ネットワークオブザーバビリティのための VPC Flow Logs と DNS クエリログを確立してネットワークトラフィック分析を行い、AWS Config でリソース設定を記録してコンプライアンス分析とインシデント調査を行うことを推奨しています。

これらの機能は、Amazon Kinesis Data Firehose を通じて既存のセキュリティ情報およびイベント管理 (SIEM) ソリューションと統合され、集中型のセキュリティ監視と自動化されたインシデント対応ワークフローを実現します。

まとめ​

これらのセキュリティサービス、ツール、および組織内のセキュリティペルソナをサポートするプラクティスを実装することで、お客様は AWS ワークロードをより適切に保護しながら、セキュリティチームがより効果的に作業できるようになります。まず、組織の主要なセキュリティペルソナを特定し、次にそれらの責任を適切な AWS サービスとツールにマッピングします。クラウド環境の進化に応じて、これらのロールベースのセキュリティプラクティスを定期的に見直し、更新することを忘れないでください。AWS Security Hub と AWS Organizations を使用して、アカウント全体の可視性を維持し、ペルソナの要件に基づいてセキュリティチェックを自動化できます。セキュリティのベストプラクティスの実装に関する詳細なガイダンスについては、AWS アカウントチームにお問い合わせください。組織のニーズに合わせた包括的なセキュリティ戦略の設計をサポートいたします。