securityhub & eventbridge at jaws asa

1. securityhubとeventbridgeの
関係性を調べてみた

2. 自己紹介
名前：富松 広太（とみまつ こうた）
Blog：https://cloud-aws-gcp.hateblo.jp/
twitter：@kotamemento
2020~21 APN Ambassador
ALL AWS Certifications Engineer
from：滋賀県

3. Securityhub (前提)
cloudwatch event
(EventBridge)

4. Securityhub
Event製造機
トリガーとEventの関係が分かると理解しやすい

5. 連携可能だがhubを通すと
統一フォーマット(ASFF)に
Eventが整形されるのが
メリット
Q1. 直接EventBridge連携可能なサービスもあるが？

6. configはxx時間ごとに
結果を検出
eventもxx時間毎に
発行される
Q2. 定期的に結果を発行するサービスと連携して
いたらeventも定期的に発行されるか？

7. Q3 .定期的にeventくるの邪魔じゃないか？
-> ステータスを設定可能
例：IAMユーザのキーが90日よりも古い

8. リソース毎（例だとIAMユーザ毎）に
ステータス「SUPPRESSED（抑制）」を設定可能
Q3 .定期的にeventくるの邪魔じゃないか？

9. 次回からイベントが変化する
"detail": {
"findings": [
{
"Compliance": {
"Status": "FAILED"
},
"Workflow": {
"Status": "SUPPRESSED"
},
・・・・・・・・・
ステータスを見て無視すれば良い
1回だけちゃんと考えばEventを精査できる
結果：成功 or 失敗
人間が対応要否を判断
Q3 .定期的にeventくるの邪魔じゃないか？

10. Master
Account
Core OU
管理
Custom OU
通常利用
security管理
アカウント your account...
your account...
your account...
your account...
organizationと連携して
結果を集約可能
Q4. 複数アカウントで利用する場合は？

11. Master
Account
Core OU
管理
Custom OU
通常利用
security管理
アカウント your account...
your account...
your account...
your account...
全eventが集まる
※一部情報は書変
全体管理はこちら
個別アカウントでも
eventが発行される
個別でイベントトリガーしたい
場合はこちらを利用
Q5. 複数アカウントで利用する場合、
eventはどう発行される？

12. Q6 .複数アカウントで導入すると
対応が大変じゃないか？(大変です)
カスタムアクションを定義可能
（コンソールイメージ）

13. 作業者が
カスタムアクションで
Eventを発行
Q6 .複数アカウントで導入すると
対応が大変じゃないか？

14. 作業者が
カスタムアクションで
Eventを発行
カスタムアクション
EventRuleで検知
Q6 .複数アカウントで導入すると
対応が大変じゃないか？
自動対応を作成可能

15. AWS Security Hub Automated Response and Remediationで
自動修復の仕組みをcfnで展開してくれる
Q6 .複数アカウントで導入すると
対応が大変じゃないか？
管理アカウント
CustomAction
eventRule
Lambda
Service catalog
管理アカウントで
custom actionすると
子アカウントにスイッチし
て自動修復する
メンバーアカウント
IAM

16. ただし修復タイミングや周知等調整は必要となる
（例：Securityチームがポート解放を調整無しで修正するのはNG）
Q6 .複数アカウントで導入すると
対応が大変じゃないか？
管理アカウント
CustomAction
eventRule
Lambda
Service catalog
管理アカウントで
custom actionすると
子アカウントにスイッチし
て自動修復する
メンバーアカウント
IAM

17. Master
Account
Core OU
管理
Custom OU
通常利用
security管理
アカウント your account...
your account...
your account...
your account...
Q7. 複数リージョン切替面倒じゃないか？
*
Region

18. SIEM on Amazon Elasticsearch Service
Q7. 複数リージョン切替面倒じゃないか？

19. SIEM on Amazon Elasticsearch Service
Q7. 複数リージョン切替面倒じゃないか？
AccountIDや
Regionを絞込も可能

20. Master
Account
Core OU
管理
Custom OU
通常利用
security管理
アカウント your account...
your account...
your account...
your account...
全Eventを
S3->
ElasticSearch
Q7. 複数リージョン切替面倒じゃないか？
SIEM on Amazon Elasticsearch Service

21. ● security hubはeventの流れを追うと理解しやすい
（何かあったらEventRuleをlogsに出力すると分かりやすい）
● AWS Security Hub Automated Response and Remediation
https://aws.amazon.com/jp/solutions/implementations/aws-security-hub-automated-response-a
nd-remediation/
● SIEM on AWS
https://aws.amazon.com/jp/blogs/news/siem-on-amazon-elasticsearch-service/
まとめ & 参考リンク