#ssmjp の ssmonline #38での発表資料です。

1. Comparison of
AWS Security Hub and
3rd party CSPM,
consideration of
operational design
2024/02/07 @Typhon666_death

2. Why this
title?
なぜこのタイトルにしたか？
01

3. Why this title?
先日、AWS Builders Flashに寄稿したが、掲載することができなかったコンテンツがあって、消化す
るため。本ブログはCSPMをまだ導入してもいない方・企業向けのブログです。
AWS builders.flash
● https://aws.amazon.com/jp/builders-flash/202401/approach-to-security-hub/

4. CSPM
Cloud Security Posture
Management (クラウドセキュリティ
態勢管理)
02

5. クラウドサービスのセキュリティ設定状況の可視化と、コンプラ違反や設定ミスがないかをチェックす
る機能
CSPM
CSPM
AWS Security Hub Other than AWS
AWS のセキュリティチェックの自
動化とセキュリティアラートの一元
化
● Microsoft Defender for Cloud
● Google Cloud Security Command Center
● Oracle Cloud Guard
● Palo Alto Networks Prisma Cloud
● Datadog Cloud Security Management
● Sysdig CSPM
● Flatt Security Shisho Cloud
● etc

6. AWS Security Hub Integration

7. Comparing
AWS and
3rd parties
CSPM
AWS Security Hubと3rd Party
CSPMとの比較
03

8. Comparing AWS and 3rd Parties CSPM
CSPM AWS Security Hub 3rd Parties CSPM
Deployment
Configuration
AWSのみ マルチクラウド
Usage Cost 安い 比較的高い
Monitoring
function
AWS 観点でセキュリティのベストプラクティスから逸脱し
た場合の検出が可能
AWS観点に加え、3rdパーティーベンダー独自観点の検
出が可能
Security
Standard
・AWS Foundational Security Best Practices(FSBP)
・CIS AWS Foundations Benchmark v1.2.0, 1.4.0
・NIST SP 800-53 Revision 5
・PCI DSS v3.2.1
(2023.09.01現在)
・CIS AWS Foundations Benchmark
・NIST SP 800-53
・PCI DSS
・その他のリファレンス
・CIS Benchmark Kubernetes
・CIS Benchmark Docker
・MITRE ATT&CK
・HIPPA
・FISC安全対策基準
・etc

9. Comparing AWS and 3rd Parties CSPM
CSPM AWS Security Hub 3rd Parties CSPM
Integration
features
・AWSの各種サービスとの統合
・AWS Config
・Amazon GuardDuty
・Amazon Inspector
・Amazon Macie
・AWS Health
・AWS IAM Access Analyzer
・AWS Systems Manager Patch Manager
・AWS Firewall Manager
・etc
・3rdパーティーパートナーシップベンダーのアラートの統
合
・AWSを初めとした各種クラウドの
CSPMサービスの統合
・パートナーベンダーの検知内容の統合
・チケット管理ツールとの統合
Others ・カスタムルール作成
(AWS Config Rulesの利用)
・有効化設定の容易さ
・他AWSサービスを用いてSOAR連携の実装などカスタマ
イズが可能
・カスタムルール作成
・優先度付け(トリアージ)が可能
・シャドーAPIディスカバリ
・初期設定後はOOTBであらゆる機能が利用可能のため
使いやすい

10. Operational
design
運用設計
04

11. イベントトリアージにリスク分析を用いて、運用設計を検討することを個人的には推奨
Risk Analysis
Risk Model
総合評価 Severity
Low Medium High Critical
脅威イベント
の発生確率
Critical High High Critical Critical
High Medium High High Critical
Medium Low Medium High High
Low Low Low Medium High
リスク = 発生頻度 x 影響度

12. Automation means rigidity (自動化は硬直化)
● 標準化(自動化)は、業務を硬直化させる
● お役所仕事しかできない低付加価値な運用現場へ
Immediate automation means chimerism (身近から始めるとキメラ化
)
● 「やれるところから自動化」は弊害を生む
● 保守も変更もできないモノリシックな自動化群の誕生
Automation has a short lifespan(自動化の寿命は短い )
● 自動化の寿命は、期待したよりもずっと短い
● 資産と思って頑張った自動化が、あっという間に負債化 (無価値化)
Ref: https://speakerdeck.com/opelab/20171212-automation?slide=30
Operational design(Inconvenient Truth)

13. Operational design(To-Be)
Small is Beautiful (小さく自動化)
● 自動化の寿命は短いものと考え、手短に作る
● 陳腐化したらバッサリ捨てて、次を作る
● きちんとした設計と、経緯は残す
Automation starting with external contact points (外側から自動化)
● 原則として、自動化は可能な限り外側 (他組織、顧客との設定 )からやる
● 自動化には重要なのは、外部影響を把握 &制御すること
Automation is disposable (自動化は使い捨て)
● 疎結合・分散型の小さなツールを作る
● 「ミス低減」と「付加価値増加」の両方を自動化で実現
Ref: https://speakerdeck.com/opelab/20171212-automation?slide=32

14. Automation triggered by CSPM?
CSPMを使った究極の自動化 is
● 組織のガバナンス、リスク、コンプライアンスに基づき、
● 自前のクラウド環境を総スキャンして、
● 最新のルールに基づいて自動でアラートを挙げて、
● 自動でトリアージして、
● 挙がったアラート内容に自動で修復・対応してくれる
そんなものは無理です。以下は阻害要因
● 組織のガバナンス、リスク、コンプライアンスの変化
● 採用されているアーキテクチャ・技術スタックの変化
● CSPMのルールの変化
● 上述の変化によるトリアージの変化
● 上述内容からくる修復・対応内容のミス

15. AWS Security Hub Automation
Amazon EventBridgeを用いて以下のアクションを呼び出し・自動化
1) AWS Lambda 関数の呼び出し
2) Amazon EC2 run コマンドの呼び出し
3) イベントを Amazon Kinesis Data Streams に中継する
4) AWS Step Functions ステートマシンのアクティブ化
5) Amazon SNS トピックまたは Amazon SQS キューへの通知
6) 結果をサードパーティのチケット発行、チャット、 SIEM、またはインシデント対応および管理ツー
ルに送信する
外側からやるのであれば、 5),6)の対応がこの中ではもっとも対応しやすい。
※もっとも外側にある目的のための自動化であるため
1)〜4)は手段でしかない。その先にある外部影響の把握を行い、どの手段で行うか、となる。
そして、1)〜4)は陳腐化もしやすいので、設計や経緯、タスク内容を分かりやすく残すこと。
Ref:
https://docs.aws.amazon.com/securityhub/latest/userguide/securityhub-cloudwatch-events.html

16. Finally
おわりに
05

17. The essence of
management is
to provide value
(運用の本質とは
価値の提供である)

18. Thank you, Hatano-san.

19. Shun Yoshie
(@Typhon666_death)
AWS Security Hero
My Interest:
● Mulchi-Cloud
● Cloud Native
● CNAPP
● Security
Observability

20. CREDITS: This presentation template was created by Slidesgo, and
includes icons by Flaticon and infographics & images by Freepik
Thanks!
Do you have any questions?
@Typhon666_death