Amazon Security Lake の特徴

Security Lake は、アカウントに専用のセキュリティデータレイクを作成します。Security Lake は、アカウントとリージョン全体で、クラウド、オンプレミス、およびカスタムデータソースからログとイベントデータを収集します。このサービスは、収集したログを Amazon Simple Storage Service (S3) バケットに保存するため、データのコントロールと所有権を保持できます。

Security Lake は、以下のサービスのログを自動的に収集します。

• AWS CloudTrail
• Amazon Virtual Private Cloud (VPC)
• Amazon Route 53
• Amazon Simple Storage Service (S3)
• AWS Lambda
• Amazon Elastic Kubernetes Service (EKS)
• AWS ウェブアプリケーションファイアウォール (WAF)

また、以下のサービスから得られた調査結果を含む、AWS Security Hub からの調査結果も収集します。 

• AWS Config
• AWS Firewall Manager
• Amazon GuardDuty
• AWS Health
• AWS Identity and Access Management (IAM) Access Analyzer
• Amazon Inspector
• Amazon Macie
• AWS Systems Manager Patch Manager

Security Lake は、AWS ログとセキュリティの検出結果を OCSF に自動的に正規化します。サードパーティーのセキュリティソリューションからのデータと、OCSF 形式に変換した内部アプリケーションまたはネットワークインフラストラクチャからのログなどのカスタムデータを追加できます。OCSF のサポートにより、Security Lake はセキュリティデータを一元化、変換し、任意の分析ツールで利用できるようにします。

サービスが利用可能な複数のリージョン、および複数の AWS アカウントで Amazon Security Lake を有効にできます。リージョンごとにアカウント全体のセキュリティデータを集約したり、複数のリージョンからのセキュリティデータをロールアップリージョンに統合したりできます。Security Lake のロールアップリージョンは、リージョンレベルのコンプライアンス要件を遵守するのに役立ちます。

Security Lake を使用すると、セキュリティツールや分析ツールのデータレイクへのアクセスを簡単に設定できます。例えば、CloudTrail などの特定のソースからのデータセットへのアクセス権のみを付与することを選択できます。アクセスには、新しいオブジェクトがデータレイクに書き込まれたときに通知を発行するデータアクセスと、セキュリティデータレイクに保存されているデータをツールでクエリできるクエリアクセスの 2 つのモードがあります。

Security Lake はカスタマイズ可能な保持設定によりデータのライフサイクルを、自動ストレージ階層化によりストレージコストを管理します。Security Lake は、受信したセキュリティデータを自動的にパーティショニングして、ストレージ効率の高い (そしてクエリ効率も高い) Apache Parquet 形式に変換します。 Security Lake では AWS Glue カタログの Apache Iceberg テーブルがサポートされているため、分析ツールを簡単に移行してクエリ実行のパフォーマンスを向上できます。

AWS AppFabric は SaaS アプリケーションの監査ログを OCSF 形式に自動的に正規化し、正規化された OCSF データを Security Lake に配信します。Security Lake と AppFabric を組み合わせることで、主要なデータソースにわたるセキュリティデータを簡単に集約、正規化、可視化できます。AppFabric と Security Lake の統合では、データの正規化やデータインジェストに関連する料金は発生しません。AppFabric の基本料金が適用されます。

Amazon OpenSearch Service では、インタラクティブなログ分析とリアルタイムのアプリケーションモニタリングを簡単に実行できるようになり、Security Lake とシームレスに統合されるようになりました。これにより、組織はセキュリティデータを効率的に検索、分析し、実用的な分析情報を得ることができるため、複雑なデータエンジニアリング要件を合理化し、セキュリティデータの可能性を最大限に引き出すことができます。 この統合の主な利点には、Security Lakeのすべてのデータを包括的に可視化してアクセスできること、セキュリティ価値の向上、構成の簡素化などがあります。さらに、この統合により、コスト管理が改善される可能性があります。Security Lake データの直接クエリなどの機能は、データの重複を回避するのに役立ちます。この統合により、特定のデータセットのオンデマンドインデックスによる高度な分析が可能になるほか、Open Cybersecurity Schema Framework (OCSF) を使用した事前構築済みのクエリとダッシュボードも提供されます。この統合を活用することで、組織は OpenSearch Service の分析および視覚化機能を使用して、より詳細な調査を実施し、脅威ハンティングを強化し、セキュリティ体制を積極的に監視できると同時に、コストを削減できる可能性があります。