🔕
AWS Security Hubの特定コントロールを無効化して通知を抑止する
背景
AWS Security Hubからの検出結果をSlackに連携しています。しかし、通知が非常に多く、重要なアラートが埋もれてしまう「オオカミ少年」状態になっていました。
すべてのセキュリティ上の指摘に対応できれば理想的ですが、以下のような理由で根本的な対処が難しいケースもあります。
- システムアーキテクチャ上の制約
- コストと効果のバランス
- 開発リソースの限界
そのため、優先度の低い通知については、Security Hubのコントロールを無効化して通知を抑止することにしました。
無効化対象のコントロール
今回、無効化することにしたセキュリティコントロールは、以下の2つです。
1. AWS Config should be enabled and use the service-linked role for resource recording
- 内容: AWS Configが有効化され、サービスリンクロールを使用すべき
- 無効化理由: AWS Configの利用コストと、現状の監査要件のバランスを考慮
2. ECS containers should be limited to read-only access to root filesystems
- 内容: ECSコンテナのルートファイルシステムを読み取り専用に制限すべき
- 無効化理由: アプリケーションの仕様上、書き込みが必要な場合がある
無効化手順
Security Hubのコンソールから、特定のコントロールを無効化します。
共通の手順
- AWSマネジメントコンソールにログイン
- Security Hubサービスを開く
- 左メニューから「セキュリティ標準」を選択
- 対象の標準（例：AWS基礎セキュリティのベストプラクティス）を選択
- 無効化したいコントロールを検索・選択
例1：AWS Configのコントロールを無効化
コントロールの詳細画面で、右上の「無効化」ボタンをクリックします。
確認ダイアログで理由を入力し、無効化を確定します。
例2：ECSコンテナのコントロールを無効化
同様に、ECSコンテナに関するコントロールの詳細画面を開きます。
右上の「無効化」ボタンをクリックし、無効化を実行します。
無効化後の確認
- Security Hubのダッシュボードで、無効化されたコントロールの数が増えていることを確認
- Slack通知が減少することを確認
- 必要に応じて、無効化したコントロールは定期的に見直す
Discussion