AWSとSplunkによる相乗効果：SOCの最新化を加速

このブログ記事は、Allan Holmes、Brandon Rooks、Marshall Jones、Narayan Sundar、Paul Frederiksenが共同執筆しました。

セキュリティオペレーションセンターのチームは、かつてないほどの重圧にさらされています。扱うデータ量やツールの数が増え、環境を詳細に可視化できるようになったものの、いまだに多くのチームが断片化したワークフロー、手作業での調査、過剰なアラートに悩まされています。

課題は、セキュリティシグナルが不足していることではありません。問題なのは、それらのシグナルが連携していないツールに分散して存在していることです。クラウド環境の検出結果、IDに関するアクティビティ、エンドポイントデータ、アプリケーションのテレメトリ、オンプレミスのイベントが、それぞれ別のワークフローで扱われることがよくあります。これでは調査に時間がかかり、運用負荷が増大するだけでなく、アナリストが全体像を把握することも難しくなります。

こうした状況を改善すべく、SplunkとAWSは協力しています。AWSネイティブの検出結果と企業のテレメトリをSplunkを活用したワークフローに取り込むことで、組織は分散されたアラートへの対応から、連携された実用的なインテリジェンスの活用へと移行できます。その結果、AWS環境、ハイブリッド環境、マルチクラウド環境全体にわたり、より統合されたSOC運用を実現することができます。

AWS Security Hub ExtendedとSplunk Enterprise Security

AWS Security Hub Extendedは、Security Hubのプランの1つであり、エンドポイント、ID、メール、ネットワーク、データ、ブラウザ、クラウド、AI、セキュリティ運用など、エンタープライズセキュリティソリューションの調達、有効化、連携を簡素化します。AWSが販売主体となるため、お客様は請求の1本化や柔軟な価格設定というメリットに加え、長い調達サイクルを経ることなく容易に利用を開始できます。

Splunk Enterprise Securityは、厳選されたSIEMソリューションとして、AWS Security Hub Extendedを通じて利用できます。また、Splunk Enterprise Security for AWS Security Hub Extendedプランは、Splunk CloudとSplunk Enterprise Securityをバンドルし、AWS Security Hubを通じて利用できます。これにより、お客様はSplunkの分析、検出、調査、セキュリティ運用に関する専門知識を環境の中心に据えながら、エンタープライズ向けSIEM機能をより容易に活用できるようになります。

この連携により、AWSの検出結果がSplunk Enterprise Securityに直接取り込まれるため、SOCチームはカスタム解析、手動設定、サービス固有のルール調整にかかる負担を軽減できます。AWS Security Hubは、Amazon GuardDuty、Amazon Inspector、AWS Config、IAM Access AnalyzerなどのAWSサービスからの検出結果を集約し、Open Cybersecurity Schema Framework(OCSF)を使用して正規化を行います。これらの検出結果はほぼリアルタイムでSplunk Enterprise Securityに送信され、AWS、ハイブリッド、マルチクラウド、オンプレミスのテレメトリと相関付けられます。

Splunk Add-on for AWS Security Hubの最新アップデートでは、Splunk Enterprise SecurityとAWS Security Hub Extended間における検出結果の双方向ワークフローがサポートされ、連携がさらに強化されました。AWS Security Hub Extendedの検出結果をSplunk Enterprise Securityに取り込めるだけでなく、Splunk Enterprise Securityの検出結果からAWS Security Hub Extendedで検出結果を作成することも可能です。

SOCチームにとって、これはAWSとSplunkの間で検出結果を共有し、検出から対応までのサイクルを構築できることを意味します。アナリストは、Splunk Enterprise Security上でAWS環境、ハイブリッド環境、マルチクラウド環境のデータ全体を調査し、Splunkの相関エンジン、AIを活用したSecOps機能、Cisco Talosの脅威インテリジェンスで検出結果を強化できます。そして、関連する検出結果をAWS Security Hub Extendedに送り返すことで、可視化、追跡、運用面での連携が可能になります。

その結果、より統合されたSOCワークフローが実現します。チームは調達を簡素化し、運用の負担を軽減するとともに、クラウド環境と企業環境のシグナルを相関付けして調査を迅速化できます。また、個別の検出結果を優先順位付けされた実用的なインサイトへと変換することで、アナリストはより重要な業務に集中できるようになります。

AWSとSplunkのパートナーシップの拡大

AWS Security Hub Extendedは、AWSとSplunkがお客様のセキュリティ運用の最新化を支援する取り組みの一例ですが、この広範なパートナーシップは、オブザーバビリティ(可観測性)、DevOps、データアクセスといった分野にも及んでいます。

AWS DevOps Agentなどの機能により、開発チームや運用チームはAWSのコンテキストをSplunkを活用したワークフローに取り込むことができます。これにより、チームがそれぞれ別のツールを使用してシグナルを手動で関連付けることなく、アプリケーションのパフォーマンス、インフラの変更、導入状況、運用リスクなどを容易に把握できるようになります。

フェデレーションも、現代の企業において重要な機能の1つです。データがAWS、オンプレミス環境、SaaSプラットフォーム、その他のシステムへと分散する中、お客様は必ずしも先にデータを別の場所に移動することなく、柔軟にサーチや相関付けが行える仕組みを必要としています。フェデレーションアプローチを使用すれば、チームはデータが存在する場所で分析を行いながら、価値の高いインサイトをSplunkのワークフローに取り込むことができます。

AWSとSplunkは協力して、お客様がクラウドネイティブのシグナル、企業データ、運用ワークフローを結びつけ、環境をより包括的に把握できるよう支援します。

最新のSOCを支える新たな基準

SOCの最新化とは、単にツールを増やすことではありません。重要なのは、チームが作業を効率化し、迅速に対応し、より豊富なコンテキストに基づいて行動できることです。

Splunk Enterprise SecurityとAWS Security Hub Extendedを組み合わせることで、組織はサイロ化を解消し、運用を簡素化するとともに、アナリストに検出、調査、対応のための統合されたワークフローを提供できます。お客様がセキュリティスタックを簡素化しようとしている場合でも、複雑なハイブリッド環境を管理している場合でも、SplunkとAWSは、デジタルレジリエンスを強化するために必要な可視性、制御、俊敏性を実現します。

セキュリティチームには、その取り組みを強力に支え、連携して機能するツールが必要です。SplunkとAWSを活用することで、組織は断片化したワークフローから脱却し、より連携された、AIを活用した最新のセキュリティ運用を支える基盤を構築できます。

導入方法

Splunk Enterprise Security for AWS Security Hub Extendedは、AWS Security Hubコンソールからご利用いただけます。Splunkのパートナーソリューションを確認したり、厳選された他のパートナー製品を検討したりできるほか、自社のセキュリティ運用ニーズに最適な機能を有効化することができます。

詳細については、AWS Security Hub Extendedの製品ページをご覧いただくか、Splunkの統合リソースをご確認ください。また、AWSもしくはSplunkのアカウントチームにお問い合わせいただくこともできます。