6.2脅威検知とコンプライアンスの自動化

セキュリティは継続的に自動化します。脅威を検知し、構成のコンプライアンスを評価し、逸脱を自動是正します。

6.2.1検知・評価・是正

• GuardDuty：ログを ML 分析し脅威/不審なアクティビティを検知。
• AWS Config：構成をルールで継続評価し逸脱を検出（修復アクションと連携）。
• Inspector / Macie：Inspector=脆弱性スキャン（EC2/ECR）、Macie=S3 の機微データ検出。
• Security Hub：複数サービス/アカウントの検出結果を一元集約・スコア化。

DOP-C02 のセキュリティ自動化は「組織全体で検知・評価・集約・是正を継続的に回す」設計が問われます。GuardDuty は VPC フローログ・DNS ログ・CloudTrail を取り込み ML で脅威を検知し、組織の委任管理者アカウントで全メンバーを一元管理します。AWS Config はマネージド/カスタムルールで構成準拠を継続評価し、Conformance Pack をルール群として組織配布、違反には修復アクションを関連付けます。Amazon Inspector は EC2・ECR コンテナイメージ・Lambda の脆弱性を継続スキャンし、Amazon Macie は S3 の機微データ（PII 等）を検出・分類します。これらの検出結果は Security Hub に ASFF 形式で集約され、CIS や AWS 基礎セキュリティ標準に対するスコアと、横断的な可視化を提供します。是正は EventBridge が結節点で、Security Hub の検出（Findings）や Config 非準拠イベントを受け、重大度に応じて Lambda/SSM Automation/Step Functions を起動します。組織横断では、各サービスを委任管理者に集約し、ログは中央のセキュリティアカウントへ送るのが定石です。DevOps の観点では、これらをパイプラインに統合し（ECR スキャン結果でデプロイをブロック、Config ルールで IaC のドリフトを検出）、セキュリティを「あとから」ではなく継続的に組み込む（DevSecOps）ことが重要です。

6.2.2検出後の根本原因分析（Amazon Detective）

Detective（Amazon Detective）は、GuardDuty などのセキュリティサービスが生成した検出結果を起点に、根本原因分析と影響範囲の調査を支援するサービスです。VPC フローログ・CloudTrail・GuardDuty の検出結果を自動的に取り込み、エンティティ（IP アドレス、ユーザー、リソース）間の関係をグラフ（行動グラフ）として可視化します。セキュリティアナリストはコンソールから「この IP はいつ・どのリソースに接触したか」「この IAM ユーザーの通常とは異なる行動パターンはいつからか」を掘り下げられます。GuardDuty が「何かがおかしい」と検知するのに対し、Detective は「なぜ・どこまで広がったか」を解明する調査ツールです。ログを手動で相関分析する代わりに、Detective が自動でデータを集約・グラフ化するため、平均修復時間（MTTR）を短縮できます。

6.2.3ネットワーク層の防御（Network Firewall）と Web 保護（WAF）

Network Firewall（AWS Network Firewall）は、VPC に配置するマネージドなステートフルファイアウォールです。セキュリティグループ（インスタンス単位の許可リスト）や NACL（サブネット単位の許可/拒否）より高度に、ドメイン名フィルタリング（許可ドメインのみ送信可）や Suricata 互換の IPS 署名による侵入防止、L3〜L7 のトラフィック検査を行います。DevOps 文脈では、Transit Gateway と組み合わせて複数 VPC の egress（外向き通信）を 1 か所に集約検査し、許可した外部サービスにのみ通信を限定する構成が定番です。SG/NACL が「ポート/IP の単純な制御」なのに対し、Network Firewall は「ドメイン/署名ベースの中央集権的なネットワーク統制」を担う、と役割を区別します。

アプリケーション層（L7）の Web リクエストを保護するのが AWS WAF（Web Application Firewall）です。CloudFront・ALB・API Gateway の前段に置き、SQL インジェクションやクロスサイトスクリプティング、レート超過（ボット/総当たり）などの悪意あるリクエストをルールでブロックします。DevOps 文脈では、WAF のルール（マネージドルールグループ含む）を CloudFormation/Firewall Manager で IaC 化し、複数アカウント・複数ディストリビューションへ一貫適用するのが定番です。Network Firewall（VPC の L3〜L7 ネットワーク統制）と WAF（公開 Web エンドポイントの L7 リクエスト保護）は対象層と配置が異なる、と整理します。

6.2.4この節のまとめ

• 検知＝GuardDuty／評価＝Config／スキャン＝Inspector／機微＝Macie
• 集約＝Security Hub／是正＝EventBridge→Lambda/SSM
• 調査＝Detective（検出結果から根本原因・影響範囲を解明）
• ネットワーク防御＝Network Firewall（ドメイン/IPS・egress集約検査）／Web保護＝WAF（L7・SQLi/XSS/レート制限を IaC で一貫適用）