AWSでCSPMを使うときは、まず標準機能のSecurity Hub CSPMで足りるかを確かめます。CSPMは、クラウドの設定が安全かを点検し続ける仕組みです。AWSのアカウントが少数なら標準機能から始め、複数のクラウドをまとめて見たいときや権限の分析まで要るときに外部の製品を比べます。
今日やることは、AWSのアカウントの数と、使っているリージョンを確かめることです。自社の請求明細を見るか、開発会社に聞いてください。この2つで、費用と運用の手間が大きく変わります。
AWSの標準機能では、どこまで見られる？
AWSの標準機能で設定を点検するものは、主に2つあります。
| 機能 |
見られるもの |
費用の考え方 |
| Trusted Advisor |
基本サポートでは6つのセキュリティチェック |
基本サポートの範囲で利用できる |
| Security Hub CSPM |
標準に照らした継続的な点検 |
チェック数などの従量課金、AWS Configは別 |
Trusted Advisorの説明によれば、基本サポートの6つは、S3バケットの許可、制限のない特定のポート、IAMの使用、ルートアカウントのMFA、EBSとRDSのパブリックスナップショットです。
ただし基本サポートでは自動更新が使えず、セキュリティのチェックは手動で更新します。見る人が開かなければ情報は古いままです。
Security Hub CSPMは、AWSが作ったFSBPのほか、CIS、PCI DSS、NISTの標準に照らして環境を点検します。FSBPの管理項目は、継続的に評価します。
Security HubとSecurity Hub CSPMの違い
名前が似ていますが、AWSの説明では別のサービスです。CSPMは設定の点検を担当します。Security Hubは、CSPMやAmazon Inspectorの結果を関連付けて、重大なリスクの優先順位付けと対応を助けます。
AWSは両方を使う形を勧めていますが、設定の誤りを見つけることが主な目的なら、CSPMだけを有効にできるとも説明しています。最初の判断としては、CSPMから見ていけば足ります。
動いているサーバーへの攻撃の検知や脆弱性の検査は、CSPMとは別の話です。Amazon GuardDutyやAmazon Inspectorの担当で、設定の点検だけでは分かりません。
費用はどう見積もる？
Security Hub CSPMの料金は、チェック数、検出結果の取り込み、自動化ルールの評価で決まります。AWSの例では、1リージョン1アカウントで月250チェックの場合、チェックの費用は0.25ドルです。
ただし、この数字だけで判断しないでください。セキュリティのチェックにはAWS Configが必要で、Configの設定項目の料金は別にかかります。Security Hub CSPMが有効にするConfigルールには別途の課金はありませんが、設定項目は別です。
費用で確かめること
- 無料試用は30日間で、アカウントとリージョンごとに適用される
- 試用中も、AWS Configの設定項目などの料金はかかる
- 使用量の画面で、チェック数と残りの試用期間を確かめられる
- 設定の変更が多い環境ほど、Configの記録が増えやすい
無料試用は、費用を測る期間として使えます。試用の途中で使用量とConfigの請求を確かめれば、自社の環境での費用が見えます。
新しいSecurity Hubは、リソース単位の料金のEssentialsプランを基本にしています。AWSのよくある質問によれば、有効にすると複数のセキュリティサービスの請求を一括にまとめます。CSPMとは計算の仕方が違うので、見積もりを比べるときは混ぜないようにします。
規模ごとに、どちらで足りる？
下の表は私たちの整理で、統計にもとづく区分ではありません。アカウントの数と、見る人がいるかで分けています。
| 環境 |
考える順番 |
外部の製品を比べる場面 |
| 1〜2アカウントで、変更が少ない |
Trusted AdvisorとSecurity Hub CSPM |
通常は急がない |
| 複数アカウントで、担当がいる |
Organizationsで集約してCSPMを使う |
指摘が多く、優先順位を付けきれない |
| AWSとAzureなど複数のクラウド |
標準機能の連携と外部の製品を比べる |
1か所で見たい範囲が広い |
| 自社開発で変更が頻繁 |
CSPMに加え、開発段階の点検も考える |
権限や動いているものまで合わせて見たい |
Security Hub CSPMの料金ページによれば、AWS Organizationsで複数のアカウントをまとめられ、Azureの点検にも対応しています。複数のアカウントや一部のマルチクラウドだけなら、外部の製品が直ちに要るとは限りません。
注意する点はリージョン
AWSの説明では、Security Hub CSPMは有効にしたリージョンの検出結果を受け取ります。東京リージョンだけを有効にして、別のリージョンで作られたものを見落とす場合があります。使っているリージョンの確認が先に要るのは、このためです。
外部の製品が要るのは、どんな場合？
外部の製品を比べるのは、標準機能で埋まらない課題があるときです。
- 複数のクラウドを同じ基準と同じ画面で見たい
- 権限の広さや、攻撃の経路まで分析して優先順位を付けたい
- 動いているものの保護や開発段階の点検まで、1つの製品にまとめたい
- 社内の情シスが普段使っている製品に、点検の結果を集めたい
例として、MicrosoftのDefender for Cloudを見ます。Foundational CSPMは無料で、AWS、Azure、Google Cloudの評価を扱えます。有料のDefender CSPMは、エージェントレスの脆弱性スキャンや攻撃パス分析を含みます。AWSのアカウントをつなぐには、Azureのサブスクリプションが必要です。
この例のように、無料で使える範囲が標準機能と重なる製品もあります。名前や機能の数ではなく、自社の課題のうちどれが埋まるかで比べます。
機能をまとめた製品群はCNAPPと呼ばれます。Microsoftの説明では、別々の道具で見るときに生じる死角を減らすことを目的の1つに挙げています。製品の範囲はCNAPPの製品比較で並べて確かめられます。
サーバーの中の保護を主に見たいなら、サーバーセキュリティの製品比較が近い範囲です。
製造業なら、誰が指摘を見る？
たとえば、生産管理のシステムを開発会社がAWSで作っている場合です。Security Hub CSPMを有効にできる権限は、開発会社だけが持っていることがあります。
この形なら、先に次の3つを聞きます。
- AWSのアカウントの名義は自社か、開発会社か
- いま設定の点検をしているか。しているなら、どの道具で、どの頻度か
- 検出された指摘を誰が直し、結果を誰に報告するか
指摘の数が多いと、担当者だけでは対応しきれない場合があります。修正の作業は有償か、保守の範囲かも確かめてください。
指摘の順番は、会社の事情で決めて構いません。外から触れるものと、管理者の権限に関わるものを先に見ると、影響の大きいところから進めやすくなります。これは私たちの整理で、AWSの指定する順番ではありません。AWS Trusted Advisorのチェック一覧やスタートアップ向けの基準も、確かめる項目の材料になります。
社外のSaaSまで含めて設定を見たくなったら、AWSの点検とは別の道具になります。SSPM（SaaSの設定管理）の製品比較で範囲を確かめ、社員が使うクラウドの把握はCASB製品の比較の見方を見てください。Microsoft 365の設定は先に直す5項目にまとめています。クラウド全般の考え方はクラウドセキュリティの記事一覧が入口です。
