AWS Security Hub 調査レポート

2026年09月21日

開発元: Amazon Web Services (AWS)

カテゴリ: 🛡️ CDN/セキュリティ

公式サイト Docs

AWS環境全体のセキュリティ状況を可視化し、リスクベースの優先順位付けと自動修復を提供する統合クラウドセキュリティソリューション

総合評価

85点

基準点70点からの評価

オープンソース

非公式・商用

無料プラン

あり

最低価格

$3.75/EC2インスタンス/月

対象ユーザー

クラウドセキュリティ管理者DevSecOpsエンジニアコンプライアンス担当者

更新頻度

高

🆕 最新情報: 2024年5月に「CIS AWS Foundations Benchmark v3.0」のサポートを追加し、最新のベストプラクティスに対応

📋 評価の詳細

👍 加点項目

+10 AWSサービス（GuardDuty, Inspector, Macie等）とのシームレスな統合と自動相関分析
+5 OCSF形式の採用によるサードパーティツールとの連携容易性
+3 AWS Organizations連携によるマルチアカウント管理の容易さ

👎 減点項目

-3 マルチクラウド対応はAWSネイティブ機能としては限定的（パートナー連携が必要）

総評: AWS環境におけるセキュリティ運用の核心。統合された可視性と自動化により、運用負荷を大幅に軽減する必須ツール

AWS Security Hub 調査レポート

1. 基本情報

ツール名: AWS Security Hub
ツールの読み方: AWS セキュリティハブ
開発元: Amazon Web Services (AWS)
公式サイト: https://aws.amazon.com/security-hub/
関連リンク:
- ドキュメント: https://docs.aws.amazon.com/securityhub/
- 料金ページ: https://aws.amazon.com/security-hub/pricing/
- FAQ: https://aws.amazon.com/security-hub/faqs/
- レビューサイト: G2
カテゴリ: CDN/セキュリティ
概要: AWS Security Hubは、AWS環境全体のセキュリティアラートとコンプライアンス状況を一元管理する統合セキュリティサービスです。Amazon GuardDuty、Amazon Inspector、Amazon MacieなどのAWSセキュリティサービスやサードパーティ製品からの検出結果を集約・相関分析し、リスクの高い問題を自動的に優先順位付けします。

2. 目的と主な利用シーン

解決する課題:
- 複数のセキュリティツールからのアラートが分散し、優先順位付けが困難になる「アラート疲労」
- AWSアカウントが増えるにつれて複雑化するコンプライアンス状況の把握と管理
- セキュリティインシデント発生時の対応遅延と手動運用の負荷
想定利用者:
- クラウドセキュリティ管理者（CISO/セキュリティエンジニア）
- インフラ運用チーム（SRE/DevOps）
- コンプライアンス・監査担当者
利用シーン:
- 一元的な可視化: 全リージョン・全アカウントのセキュリティスコアとアラートを単一のダッシュボードで確認
- コンプライアンス遵守: CIS AWS Foundations BenchmarkやPCI DSSなどの基準に対する自動チェックと継続的なモニタリング
- 脅威への迅速な対応: 重大な検出結果（Finding）に対する自動修復やチケット起票の自動化

3. 主要機能

統合セキュリティダッシュボード: AWS環境全体のセキュリティ体制（ポスチャ）をスコア化し、傾向や重要なリスクを一目で把握できる可視化機能を提供します。
自動相関分析と優先順位付け: GuardDutyの脅威検出とInspectorの脆弱性情報などを組み合わせ、リスクの高い「エクスポージャー（露出）」を特定して優先順位を付けます。
CSPM (Cloud Security Posture Management): AWS Foundational Security Best Practices (FSBP) や CIS ベンチマークなどの業界標準に基づき、リソースの設定ミスを自動的にチェックします。
攻撃パス分析 (Attack Path Analysis): 攻撃者が脆弱性や設定ミスを悪用して重要なリソースに到達する可能性のある経路を可視化し、対策を支援します。
セキュリティ重視のリソースインベントリ: セキュリティリスクと設定情報を統合したリソース一覧を提供し、リスクのある資産を迅速に特定できます。
OCSF (Open Cybersecurity Schema Framework) サポート: セキュリティ検出結果の標準フォーマットとしてOCSFを採用し、サードパーティツール（SIEM/SOAR）との連携を容易にします。
自動修復とワークフロー: Amazon EventBridgeと連携し、特定のアラートに対して自動修復アクションを実行したり、JiraやServiceNowへチケットを自動起票したりできます。
クロスリージョン集約: 複数のリージョンで発生した検出結果を指定した集約リージョンに統合し、一元管理を実現します。

4. 動作原理・システム構成

アーキテクチャ: クラウドネイティブなマネージドセキュリティポスチャ管理（CSPM）および自動アグリゲーションサービス。
主要コンポーネントとデータフロー:
- AWSアカウント全体の設定情報とAWSの各種セキュリティサービス（GuardDuty, Inspector, Macie, IAM Access Analyzer等）やサードパーティツールからセキュリティアラート（Finding）を収集・集約します。
- 収集したデータは、AWS Security Finding Format (ASFF) と呼ばれる標準形式に正規化され、相関分析や優先順位付けに利用されます。

graph TD
    A["AWS環境 (EC2, S3, IAM等)"] -->|"設定チェック"| B("AWS Config")
    C["AWS GuardDuty"] -->|"脅威検出"| E["AWS Security Hub"]
    D["AWS Inspector"] -->|"脆弱性情報"| E
    B -->|"リソース構成情報"| E
    F["サードパーティツール"] -->|"アラート"| E
    E -->|"統合・分析 (ASFF化)"| G{"セキュリティダッシュボード"}
    G -->|"アクション"| H["Amazon EventBridge"]
    H -->|"自動修復"| I["AWS Lambda / Systems Manager"]
    H -->|"通知/起票"| J["SNS / Jira / ServiceNow"]

特筆すべき要素技術:
- AWS Security Finding Format (ASFF): あらゆるソースからのセキュリティ警告を共通のJSON形式に変換する仕組み。
- OCSF (Open Cybersecurity Schema Framework): SIEMやデータレイクとシームレスに連携するためのオープン標準スキーマサポート。
- クロスリージョンアグリゲーション: 複数リージョン、複数アカウントのFindingsを一箇所に集約する機能。

5. 開始手順・セットアップ

前提条件:
- AWSアカウント
- AWS Configの有効化（CSPM機能を利用する場合に推奨）
- AWS Organizations（マルチアカウント管理を行う場合）
有効化手順（コンソール）:
1. AWSマネジメントコンソールで「Security Hub」を開く。
2. 「Security Hubに移動」または「有効化」をクリック。
3. 初回セットアップで、推奨されるセキュリティ基準（FSBPなど）が自動的に有効化される。

CLIでの有効化:

# Security Hubの有効化
aws securityhub enable-security-hub --enable-default-standards

初期設定:
- 委任管理者の設定: AWS Organizationsを使用する場合、セキュリティ管理用のアカウントを委任管理者に指定。
- 統合の有効化: GuardDuty、Inspectorなどの他のAWSサービスとの統合を確認（現在は自動的に統合される機能が多い）。

6. 特徴・強み (Pros)

AWSネイティブの強力な統合力: エージェントレスで即座にAWS環境全体を可視化でき、GuardDutyやInspectorなどの他のAWSサービスとシームレスに連携します。設定の手間が最小限で済みます。
「統合セキュリティソリューション」としての進化: 単なるアラート集約から進化し、脆弱性と脅威情報を相関分析することで、単独のツールでは見えない複合的なリスク（例: インターネットに公開され、かつ脆弱性があり、機密データにアクセス可能なEC2）を特定できます。
OCSFによる標準化と拡張性: 業界標準のスキーマを採用しているため、SplunkやDatadogなどの外部ツールとのデータ連携が非常にスムーズで、ベンダーロックインを軽減します。

7. 弱み・注意点 (Cons)

マルチクラウド対応の限界: AWS以外のクラウド（Azure, GCP）のセキュリティポスチャ管理も可能ですが、サードパーティ連携やカスタムスクリプトが必要な場合が多く、専用のCNAPP（Wizなど）に比べるとAWS中心の設計です。
コストの予測と管理: リソースベースの課金体系に移行しましたが、大規模環境ではリソース数が膨大になるとコストが増加する可能性があります。事前のコスト見積もりが重要です。
アラートの精査が必要: デフォルトのセキュリティ基準をすべて有効にすると、大量の検出結果（Finding）が発生し、重要なアラートが埋もれる可能性があります。運用に合わせて抑制ルールやフィルタリング設定が必要です。
日本語対応: コンソールは日本語化されていますが、一部の検出結果の詳細や修復手順のドキュメントは英語がベースとなる場合があります。

8. 料金プラン

2025年後半に導入された「合理化された料金体系（Streamlined Pricing）」に基づきます。

プラン名	料金 (us-east-1例)	主な特徴
Essentials Plan (基本プラン)	リソースベース課金 - EC2: $3.75/台/月 - Lambda: ~$0.31/関数/月 - ECR: ~$0.20/画像/月	リスク分析、脆弱性管理（Inspector連携含む）、CSPM、セキュリティ対応管理。 ※Security Hubを有効化すると自動適用。
Threat Analytics (アドオン)	従量課金 - CloudTrail: $4.00/100万イベント - ログ: $0.55/GB (最初の1TB)	GuardDutyの機能を利用した脅威分析。 ※GuardDuty単体利用からの移行が可能。
Code Scanning (アドオン)	Lambda関数単位	Inspectorを利用したLambdaコードの脆弱性スキャン。

課金体系: 従来の「チェック回数」ベースから、「監視対象リソース数」ベースへ移行し、コスト予測が容易になりました。
無料トライアル: 新規有効化時に30日間の無料トライアル（Essentialsプラン機能）が提供されます。

9. 導入実績・事例

導入企業:
- ITV: 複数の放送環境にわたるセキュリティ体制を一元管理し、効率的な運用を実現。
- Pokemon Company International: グローバルなAWS環境のコンプライアンス監視とリスク管理に活用。
- GoDaddy: 大規模なインフラにおける脆弱性管理と脅威検出の統合に利用。
- Sony Music Entertainment Japan: 複数のAWSアカウントにおけるセキュリティポスチャの可視化と改善。
導入事例: 多くの場合、複数のセキュリティツールを統合し、全社的なセキュリティスコアの可視化と、監査対応の工数削減を目的に導入されています。
対象業界: 金融、メディア、テクノロジー、ヘルスケアなど、コンプライアンス要件が厳しく、大規模なAWS利用がある全業界。

10. サポート体制

ドキュメント: AWS公式ドキュメントは非常に充実しており、各コントロールの修復手順も詳細に記載されています。 User Guide
コミュニティ: AWS re:PostやGitHub上のコミュニティが活発で、多くの知見が共有されています。
公式サポート: AWSサポート（Business/Enterpriseプラン）に加入することで、技術的な問い合わせやアーキテクチャレビューを受けることが可能です。日本語サポートも対応しています。

11. エコシステムと連携

11.1 API・外部サービス連携

API: フル機能のAPIが提供されており、検出結果の取得、更新、インサイトの作成などをプログラムで制御可能です。
外部サービス連携:
- SIEM/SOAR: Splunk, Datadog, Sumo Logic, IBM QRadar
- チケット管理: Jira (Atlassian), ServiceNow
- チャットツール: Slack (AWS Chatbot経由), Microsoft Teams
- パートナーセキュリティツール: CrowdStrike, Palo Alto Networks, Trend Micro

11.2 技術スタックとの相性

技術スタック	相性	メリット・推奨理由	懸念点・注意点
AWS CloudFormation / CDK	◎	IaCでSecurity Hub自体や修復アクションを定義・展開可能	特になし
Terraform	◎	プロバイダが充実しており、マルチアカウント設定もコード化可能	ステート管理に注意
Python (Boto3)	◎	SDKを利用して高度な自動化スクリプトを作成可能	APIレート制限の考慮

12. セキュリティとコンプライアンス

認証: AWS IAMによるきめ細やかなアクセス制御、MFA対応。
データ管理: 検出結果データはAWSリージョン内に保存され、KMSによる暗号化が可能です。GDPRなどのデータレジデンシー要件に対応します。
準拠規格:
- Security Hub自体がISO 27001, PCI DSS, SOC, HIPAAなどの主要なコンプライアンス認定を取得しています。
- ユーザーの環境チェックとして、CIS AWS Foundations Benchmark, PCI DSS, NIST SP 800-53, AWS Foundational Security Best Practices (FSBP) などの基準をサポートしています。

13. 操作性 (UI/UX) と学習コスト

UI/UX: 統合ダッシュボードは直感的で、全体スコア、脅威の傾向、重要なインサイトがウィジェット形式で表示されます。ドリルダウンして個別のリソースや検出結果を確認する操作もスムーズです。
学習コスト: AWSの基本的な知識があれば導入は容易ですが、検出結果（Finding）の詳細な理解や、適切な修復アクションの判断にはセキュリティの専門知識が必要です。自動化の設定にはEventBridgeやLambdaの知識が求められます。

14. ベストプラクティス

効果的な活用法 (Modern Practices):
- 全アカウント・全リージョンでの有効化: AWS Organizationsと連携し、組織全体で有効化して死角をなくす。
- 自動修復の実装: 明確な誤設定（例: 不要なポート開放）に対しては、自動修復アクションを設定し、手動対応を減らす。
- FSBPの活用: AWS推奨のベストプラクティス（FSBP）をベースラインとして利用し、継続的にスコア改善を目指す。
陥りやすい罠 (Antipatterns):
- アラートの放置: 全ての基準を有効にして大量のアラートが出たまま放置し、形骸化させる。まずは重要な基準から始め、徐々に範囲を広げるべき。
- 手動対応のみへの依存: アラート対応をすべて手動で行おうとすると運用が破綻する。チケット起票や通知の自動化は必須。

15. ユーザーの声（レビュー分析）

調査対象: G2, Gartner Peer Insights
総合評価: 4.3/5.0 (G2)
ポジティブな評価:
- 「AWS環境のセキュリティ状況を一元的に把握できるのが非常に便利」
- 「設定が簡単で、数クリックでベストプラクティスのチェックを開始できる」
- 「他のAWSサービスとの連携が強力で、追加のインストール作業が不要」
ネガティブな評価 / 改善要望:
- 「マルチクラウド環境（Azure/GCP）の管理機能が弱い」
- 「アラートの詳細情報がJSON形式で分かりにくい場合がある」
- 「大規模環境ではコストが予想以上に高くなることがある」
特徴的なユースケース:
- 監査前の準備として、Security Hubのコンプライアンスチェックを一通り実施し、レポートとして提出する利用法。

16. 直近半年のアップデート情報

2024-05-13: CIS AWS Foundations Benchmark v3.0 サポート追加
- Center for Internet Security (CIS) の AWS Foundations Benchmark version 3.0 に基づくセキュリティチェックのサポートを開始。
2024-04-30: AWS Resource Tagging Standard の発表
- リソースのタグ付けの一貫性を維持し、タグベースのアクセス制御などを検証する新しいベストプラクティス標準を追加。
2023-12-18: 15の新しいセキュリティコントロールを追加
- CloudFront、EC2、EKS などのサービスにまたがる15の新しいチェックを追加し、ポスチャ管理の網羅性を向上。
2023-11-27: 中央設定機能 (Central Configuration) およびエンリッチメントの拡張
- 複数アカウント/複数リージョンのコントロール設定を一元管理可能に。また、Findingのメタデータ（リソースタグなど）を自動でエンリッチメントする機能が追加。

(出典: AWS What’s New: Security, Identity, & Compliance)

17. 類似ツールとの比較

17.1 機能比較表 (星取表)

機能カテゴリ	機能項目	AWS Security Hub	Microsoft Defender for Cloud	Datadog	Trivy
基本機能	CSPM (設定診断)	◎ AWSネイティブで即時反映	◎ マルチクラウド対応の基盤ポスチャ	◯ 統合監視の一部として提供	◯ IaC・コンフィグスキャン
環境対応	マルチクラウド	△ 基本AWS中心(パートナー連携要)	◎ Azure/AWS/GCP統合対応	◎ 主要インフラ/クラウド対応	◎ CI/CD及び複数環境に組込可
分析	リスク相関分析	◎ AWSサービス間の深い連携	◎ Attack Path等の高度な相関	◯ ログ・メトリクスとの相関	× 単体の静的チェックが主
コスト	導入・運用コスト	◯ リソース課金、小規模は安価	△ ライセンス体系が複雑	△ データ量・ホスト課金	◎ オープンソース(無料)

17.2 詳細比較

ツール名	特徴	強み	弱み	選択肢となるケース
AWS Security Hub	AWS純正の統合セキュリティハブ	AWS環境との親和性が最高。導入が容易で、他のAWSサービスと自動連携する。	マルチクラウド管理には不向き。サードパーティ連携が前提となる領域がある。	AWS中心の環境で、手軽に標準的なセキュリティ体制を構築したい場合。
Microsoft Defender for Cloud	マルチクラウド対応CNAPP	Azure/AWS/GCPなどマルチクラウド全体を単一基盤でカバー。AI支援(Agentic AI)機能に強み。	複数のポータルに跨る設定が必要でUIが複雑。コスト見積もりが難しい。	Azureを含むマルチクラウド環境で統合管理を求めるエンタープライズ。
Datadog	オブザーバビリティプラットフォーム	インフラ・アプリの監視データとセキュリティ情報を統合して見られる。	セキュリティ専用ツールと比べると深堀り分析機能が一部簡易的。	既にDatadogを全社導入しており、ツールを一本化したい場合。
Trivy	軽量なOSS脆弱性スキャナ	コマンドラインベースで簡単にCI/CDパイプラインに組み込める。コンテナ・IaCスキャンに特化。	ダッシュボードや継続的な相関分析機能（CSPM単体として）は提供しない。	シフトレフト推進において、開発パイプラインでの自動診断を行いたい場合。

18. 総評

総合的な評価:
- AWSを利用するすべての組織にとって「基本装備」と呼べる重要なサービスです。以前は単なるアラート集約ツールとしての側面が強かったですが、統合ソリューションへの進化により、リスクベースの優先順位付けが可能になり、実用性が飛躍的に向上しました。AWS環境におけるセキュリティ運用のハブとして機能します。
推奨されるチームやプロジェクト:
- AWSをメインに利用している全てのチーム: 特に、セキュリティ専任担当者が少ない組織でも、有効化するだけで一定レベルのガバナンスを効かせることができます。
- DevSecOpsを推進する組織: 自動修復やCI/CD連携の基盤として最適です。
選択時のポイント:
- AWS単一環境であればSecurity Hubがコスト・機能のバランスで最適解となることが多いです。
- 厳格なマルチクラウド要件がある場合や、より高度なリスク分析（詳細な攻撃パスやデータフロー分析など）が必要な場合は、Wizなどの専用CNAPPツールとの併用、あるいは置き換えを検討する必要があります。

📋 評価の詳細

👍 加点項目

👎 減点項目

関連レポート

関連レポート

AWS Security Hub 調査レポート

1. 基本情報

2. 目的と主な利用シーン

3. 主要機能

4. 動作原理・システム構成

5. 開始手順・セットアップ

6. 特徴・強み (Pros)

7. 弱み・注意点 (Cons)

8. 料金プラン

9. 導入実績・事例

10. サポート体制

11. エコシステムと連携

11.1 API・外部サービス連携

11.2 技術スタックとの相性

12. セキュリティとコンプライアンス

13. 操作性 (UI/UX) と学習コスト

14. ベストプラクティス

15. ユーザーの声（レビュー分析）

16. 直近半年のアップデート情報

17. 類似ツールとの比較

17.1 機能比較表 (星取表)

17.2 詳細比較

18. 総評