ハンズオンラボ›Azure

Security Hub のセキュリティ標準でプロアクティブに是正する

Security Hub と AWS Config を有効化し、AWS 基礎セキュリティのベストプラクティス（FSBP）標準のコントロールで非準拠リソースを検知します。意図的に弱い設定（パブリックアクセスブロック無効）の S3 バケットを作って FAILED 検出を確認し、設定を是正してコントロールが PASSED に変わるまでを体験します。すべて東京リージョン・コンソール操作のみで完結します。

中級約 45 分Azure 実環境

ラボ概要

AWS Security Hub（現在の正式名称は AWS Security Hub CSPM）と AWS Config を組み合わせると、アカウント内のリソースをセキュリティ標準（ベンチマーク）に照らして継続的にチェックできます。このラボでは、わざと弱い設定の S3 バケットを作り、Security Hub のコントロールが「FAILED（非準拠）」として検知する様子を観察し、設定を是正してコントロールが「PASSED」に変わるまでをハンズオンで確認します。

学習目標

  • AWS Config を有効化し、リソース構成の記録を開始する
  • Security Hub を有効化し、「AWS 基礎セキュリティのベストプラクティス（AWS FSBP）」標準を適用する
  • セキュリティコントロールと検出結果（findings）の関係を理解する
  • 非準拠リソースを意図的に作成し、コントロールが FAILED になる流れを確認する
  • リソース設定を是正し、コントロールのワークフローと準拠状態の変化を確認する

前提

  • フェデレーテッドコンソールに cloud_user ロールでサインイン済みであること
  • Security Hub のコントロールは AWS Config の構成記録に依存するため、必ず先に Config を有効化します（先に Security Hub を有効化すると、Config 未設定を示す Config.1 コントロールが FAILED になり、各コントロールに WARNING が出ます）

ラボの構成

  1. 1AWS Config を有効化する
  2. 2Security Hub を有効化して標準を適用する
  3. 3標準とコントロールの一覧を確認する
  4. 4意図的に非準拠な S3 バケットを作成する
  5. 5非準拠の検出結果（FAILED）を確認する
  6. 6リソースを是正する（プロアクティブ修復）
  7. 7コントロールが PASSED に変わることを確認する
  8. 8検出結果のワークフローを操作する（任意）
  9. 9動作確認
  10. 10完了チェックリスト
  11. 11後片付け

詳細な手順は、ラボ開始後に画面内のガイドとして表示されます。

構成図

構成図

参考リソース

参考リンク