マルチアカウント環境でセキュリティサービスの検出結果を全てSecurity Hubに集約して通知してみた

組織内のセキュリティアラートはSecurity　Hubに集約して管理すると通知設定も楽ですよ。

#AWS Security Hub

#Amazon GuardDuty

#Amazon EventBridge

#AWS Organizations

#AWS

鈴木純

2022.05.10

この記事は公開されてから1年以上経過しています。情報が古い可能性がありますので、ご注意ください。

以下のブログを読んだとき、「Security Hubに集約できるサービスなら全部マルチアカウントでもまとめられるのでは？」と閃いたので試してみました。

構成

構成としてはこんな感じです。Organizations統合でSecurity Hubを利用していて、リージョン集約を設定すれば自然とこの形になります。

この構成であれば、Security Hub管理アカウントの集約リージョンに検知したいEventBridgeのルールをサービス(プロダクト)ごと作成するだけで組織内全ての検出結果を通知する環境が作れます。

Security Hubの検出結果リージョン集約

前提ですが、先日アップデートがあったSecurity Hubで集約リージョンを指定すると、他リージョンのSecurity Hubからの検出結果を集約できるようになりました。

Security Hubには元々セキュリティサービスが数多く統合されているため、各リージョンごとにはセキュリティサービスの検知結果を集約できていたのですが、通知は各リージョンごとに実装する必要がありました。

これがアップデートにより1つのリージョンに集約できるため、管理がとっても楽になったというのがSecurity Hubのリージョン集約です。

参考：【アップデート】AWS Security Hub が検出結果のリージョン集約に対応しました | DevelopersIO

Security HubのOrganizations統合と組み合わせる

次にSecurity HubのOrganizations統合をリージョン集約と合わせて利用していきます。

参考： [アップデート]Security Hubが AWS Organizations と統合！組織内セキュリティチェック環境を簡単にセットアップ/管理できるようになりました | DevelopersIO

Organizations統合ではSecurity Hubの管理アカウント(ここではAudit Account)からメンバーアカウントを管理でき、管理アカウント上のリージョンごとにメンバーアカウントの検出結果を集約できる機能を持っています。(下の図では赤線で示されている部分です。)

この機能によってメンバーアカウントの検出結果は最終的に全て管理アカウント上の各リージョン上に一度集約されます。

それに先ほど紹介した検出結果リージョン集約を組み合わせることで、管理アカウント上にある集約リージョンへ全ての検出結果を集約できます。

通知の設定をしたい場合は、集約リージョンのSecurity Hubから通知したいサービスのイベントを取得するEventBridgeのルールを作成すれば良いのでとてもシンプルに考えることができそうです。

やってみる

実際に通知されるのか試してみます。今回はメンバーアカウントのGuardDutyとSecurity Hubの集約リージョン外の検出結果を、管理アカウント上の集約リージョンで設定したEventBridgeのルールから通知してみます。

集約リージョン：東京リージョン
集約外リージョン：バージニア北部

前提

以下の機能を利用している前提で進めるため、実装部分は省きます。各ブログをご参照ください。

Security Hubでリージョン集約機能を利用していること
- 【アップデート】AWS Security Hub が検出結果のリージョン集約に対応しました | DevelopersIO
Security HubでOrganizations統合を利用していること
- [アップデート]Security Hubが AWS Organizations と統合！組織内セキュリティチェック環境を簡単にセットアップ/管理できるようになりました | DevelopersIO

EventBridgeのルール作成

Security Hubのイベントを取得するため、管理アカウントの集約リージョンに以下のリソースを作成します。

EventBridgeルール
SNSトピック

作成するEventBridgeルールのパターンは以下の2つです。

Security Hub用

{
  "detail-type": ["Security Hub Findings - Imported"],
  "source": ["aws.securityhub"],
  "detail": {
    "findings": {
      "ProductName": ["Security Hub"],
      "Severity": {
        "Label": ["LOW", "MEDIUM", "HIGH", "CRITICAL", "INFORMATIONAL"]
      }
    }
  }
}

GuardDuty用

{
  "detail-type": ["Security Hub Findings - Imported"],
  "source": ["aws.securityhub"],
  "detail": {
    "findings": {
      "ProductName": ["GuardDuty"],
      "Severity": {
        "Label": ["LOW", "MEDIUM", "HIGH", "CRITICAL"]
      }
    }
  }
}

GuardDutyの検出結果を検知するEventBridgeルールですが、取得元はaws.securityhubであることに注意しましょう。

EventBridgeのルールとSNSトピックはCloudFormationテンプレートで作成したので、参考程度にお使い下さい。

AWSTemplateFormatVersion: "2010-09-09"
Parameters:
  Prefix:
    Type: String
    Default: test
  GuardDutySeverities:
    Type: CommaDelimitedList
    Default: "LOW,MEDIUM,HIGH,CRITICAL"
  SecurityHubSeverities:
    Type: CommaDelimitedList
    Default: "LOW,MEDIUM,HIGH,CRITICAL,INFORMATIONAL"

Resources:
# EventBridge Rule
  GuardDutyEventRule:
    Type: AWS::Events::Rule
    Properties:
      Name: !Sub "${Prefix}-guardduty-finding-rule"
      EventPattern:
        "source": ["aws.securityhub"]
        "detail-type": ["Security Hub Findings - Imported"]
        "detail":
          "findings":
            "ProductName": ["GuardDuty"]
            "Severity":
              "Label": !Ref GuardDutySeverities
      Targets:
        - Arn: !Ref SnsTopic
          Id: sns-topic

  SecurityHubEventRule:
    Type: AWS::Events::Rule
    Properties:
      Name: !Sub "${Prefix}-securityhub-finding-rule"
      EventPattern:
        "source": ["aws.securityhub"]
        "detail-type": ["Security Hub Findings - Imported"]
        "detail":
          "findings":
            "ProductName": ["Security Hub"]
            "Severity":
              "Label": !Ref SecurityHubSeverities
      Targets:
        - Arn: !Ref SnsTopic
          Id: sns-topic

  # SNS Topic
  SnsTopic:
    Type: AWS::SNS::Topic
    Properties:
      TopicName: !Sub "${Prefix}-security-alert-topic"

  # SNS Topic Policy
  EventTopicPolicy:
    Type: AWS::SNS::TopicPolicy
    Properties:
      PolicyDocument:
        Statement:
          - Effect: "Allow"
            Principal:
              Service: "events.amazonaws.com"
            Action: "sns:Publish"
            Resource: "*"
      Topics:x
        - !Ref SnsTopic